AnswersPublished14 sources
Mozilla tilbagekalder Firefox- og Thunderbird-GPG-nøgle efter utilsigtet afsløring på GitHub
Den 10. august 2026 meddelte Mozilla, at en ukrypteret kopi af en GPG privat underskriftsnøgle til Firefox og Thunderbird Linux artefakter ved et uheld var begået til et privat GitHub lager.
Udgivet afRedigeret med DeepSeek-V4-FlashBilleder genereret med GPT Image 1.5
Research answer
Key takeaways
- Den 10. august 2026 meddelte Mozilla, at en ukrypteret kopi af en GPG privat underskriftsnøgle til Firefox og Thunderbird Linux artefakter ved et uheld var begået til et privat GitHub lager.
- Hændelsen fandt sted mindre end en uge efter det massive keyv npm pakkehijack (ChainDrop) den 4.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Den 10. august 2026 offentliggjorde Mozilla, at de ved et uheld havde begået en ukrypteret kopi af en GPG-privat underskriftsnøgle til et privat GitHub-lager, hvilket tvang en øjeblikkelig nøglerotation for Firefox- og Thunderbird Linux-artefakter. Her følger en komplet gennemgang af hændelsen og dens kontekst.
Sådan blev nøglen eksponeret
GPG-underskriftsnøglen – brugt til at signere Linux-tarballs, RPM-pakker og kontrolsumfiler – blev utilsigtet begået i klartekst (ukrypteret) til et privat GitHub-lager af en Mozilla-medarbejder . Lageret var kun tilgængeligt for en lille gruppe internt i Mozilla, men nøglen var gemt uden adgangskodebeskyttelse .
Mozillas undersøgelse
Mozilla gennemgik tilgængelige revisionslogfiler og fandt ingen tegn på, at nøglen var blevet tilgået af en uautoriseret part, mens den lå i lageret . Adgangen var begrænset til personer, der allerede havde autoriseret adgang til nøglen via andre kanaler . Mozilla vurderer risikoen for et egentligt supply chain-angreb (f.eks. hackere, der distribuerer ondsindede signerede installatører) som lav .
Iværksatte tiltag
-
Tilbagekaldelse: Mozilla tilbagekaldte den kompromitterede nøgle med årsagskode 2, som i GPG/OpenPGP-specifikationen betyder "nøglemateriale er kompromitteret" (svarende til
KEY_COMPROMISE) . -
Erstatningsnøgle: En ny GPG-underskriftsnøgle blev udstedt med fingeraftryk:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Denne nøgle er gyldig indtil 5. august 2028 . Hovednøglens fingeraftryk er
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Sikkerhedsforanstaltninger: Mozilla har tilføjet interne sikkerhedsforanstaltninger for at forhindre lignende utilsigtede begåelser i fremtiden .
-
Effekt af tilbagekaldelse: Da GPG-tilbagekaldelser er permanente, stopper filer signeret med den gamle nøgle med at verificere, når en bruger importerer tilbagekaldelsen – dette gælder både ældre og fremtidige downloads .
Hvem skal handle
De fleste brugere – ingen handling er nødvendig. Mozillas officielle vejledning siger: "For de fleste brugere kræves ingen handling" . Automatiske opdateringsmekanismer håndterer nøgleovergangen transparent.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Mozilla tilbagekalder Firefox- og Thunderbird-GPG-nøgle efter utilsigtet afsløring på GitHub"?
Den 10. august 2026 meddelte Mozilla, at en ukrypteret kopi af en GPG privat underskriftsnøgle til Firefox og Thunderbird Linux artefakter ved et uheld var begået til et privat GitHub lager.
What are the key points to validate first?
Den 10. august 2026 meddelte Mozilla, at en ukrypteret kopi af en GPG privat underskriftsnøgle til Firefox og Thunderbird Linux artefakter ved et uheld var begået til et privat GitHub lager. Hændelsen fandt sted mindre end en uge efter det massive keyv npm pakkehijack (ChainDrop) den 4.