RespuestasPublicado14 fuentes
Mozilla revoca la clave de firma GPG de Firefox tras exponerla accidentalmente en GitHub: lo que los usuarios de Linux deben saber
El 10 de agosto de 2026, Mozilla reveló que una copia sin cifrar de una subclave privada GPG para firmar artefactos de Firefox y Thunderbird en Linux fue subida accidentalmente a un repositorio privado de GitHub. El incidente ocurrió menos de una semana después del masivo ataque a la cadena de suministro del paquete...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
Respuesta de investigación
Conclusiones clave
- El 10 de agosto de 2026, Mozilla reveló que una copia sin cifrar de una subclave privada GPG para firmar artefactos de Firefox y Thunderbird en Linux fue subida accidentalmente a un repositorio privado de GitHub.
- El incidente ocurrió menos de una semana después del masivo ataque a la cadena de suministro del paquete npm keyv (ChainDrop), revelado el 4 de agosto de 2026, que comprometió más de 2251 versiones de 452 paquetes úni...
- La mayoría de los usuarios no necesitan hacer nada: las actualizaciones automáticas gestionan la transición.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
El 10 de agosto de 2026, Mozilla informó que un empleado había subido accidentalmente una copia sin cifrar de una subclave privada GPG a un repositorio privado de GitHub, lo que obligó a una rotación inmediata de la clave de firma de los artefactos de Firefox y Thunderbird para Linux. A continuación, te explicamos todo lo que necesitas saber.
¿Cómo se expuso la clave?
La subclave privada GPG, utilizada para firmar archivos tarball de Linux, paquetes RPM y archivos de suma de verificación (checksums), fue subida accidentalmente en texto plano (sin cifrar) a un repositorio privado de GitHub por una persona empleada de Mozilla . Aunque el repositorio solo era accesible para un grupo reducido dentro de la organización, el material de la clave se almacenó sin protección por frase de contraseña .
¿Qué encontró la investigación de Mozilla?
Mozilla revisó los registros de auditoría disponibles y no encontró evidencia de que la clave hubiera sido accedida por alguna persona no autorizada mientras estuvo en el repositorio . El acceso estaba limitado a personas que ya tenían acceso autorizado a la clave por otros medios . Mozilla evaluó el riesgo de un ataque real a la cadena de suministro (por ejemplo, que atacantes distribuyeran instaladores maliciosos firmados) como bajo .
Medidas tomadas
-
Revocación: Mozilla revocó la clave comprometida con el código de razón 2, que en la especificación GPG/OpenPGP significa "el material de la clave ha sido comprometido" (equivalente a
KEY_COMPROMISE) . -
Clave de reemplazo: Se emitió una nueva subclave de firma GPG con la siguiente huella digital:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Esta subclave es válida hasta el 5 de agosto de 2028 . La huella digital de la clave principal es
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Medidas de seguridad: Mozilla añadió salvaguardas internas para evitar que accidentes similares vuelvan a ocurrir en el futuro .
-
Impacto de la revocación: Dado que las revocaciones GPG son permanentes, los archivos firmados con la clave antigua dejan de verificarse una vez que la persona usuaria importa la revocación. Esto aplica también a descargas antiguas, no solo a las futuras .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "Mozilla revoca la clave de firma GPG de Firefox tras exponerla accidentalmente en GitHub: lo que los usuarios de Linux deben saber"?
El 10 de agosto de 2026, Mozilla reveló que una copia sin cifrar de una subclave privada GPG para firmar artefactos de Firefox y Thunderbird en Linux fue subida accidentalmente a un repositorio privado de GitHub.
¿Cuáles son los puntos clave a validar primero?
El 10 de agosto de 2026, Mozilla reveló que una copia sin cifrar de una subclave privada GPG para firmar artefactos de Firefox y Thunderbird en Linux fue subida accidentalmente a un repositorio privado de GitHub. El incidente ocurrió menos de una semana después del masivo ataque a la cadena de suministro del paquete npm keyv (ChainDrop), revelado el 4 de agosto de 2026, que comprometió más de 2251 versiones de 452 paquetes úni...
¿Qué debo hacer a continuación en la práctica?
La mayoría de los usuarios no necesitan hacer nada: las actualizaciones automáticas gestionan la transición.