AnswersPublished14 sources
Mozillan GPG-allekirjoitusavain vuoti GitHubiin – uusi avain käyttöön, osa Linux-jakeluista vaatii manuaalitoimia
Mozilla paljasti 10. elokuuta 2026, että salaamaton kopio Firefoxin ja Thunderbirdin Linux allekirjoituksissa käytetystä GPG aliyksityisavaimesta oli vahingossa lisätty yksityiseen GitHub repositorioon.
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Research answer
Key takeaways
- Mozilla paljasti 10. elokuuta 2026, että salaamaton kopio Firefoxin ja Thunderbirdin Linux allekirjoituksissa käytetystä GPG aliyksityisavaimesta oli vahingossa lisätty yksityiseen GitHub repositorioon.
- Tapaus sattui alle viikko massiivisen keyv npm pakettikaappauksen (ChainDrop) jälkeen, joka paljastettiin 4.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
10. elokuuta 2026 Mozilla ilmoitti, että sen työntekijä oli vahingossa lisännyt salaamattoman kopion GPG-aliyksityisavaimesta yksityiseen GitHub-repositorioon. Tämä pakotti välittömään avaimenvaihtoon Firefoxin ja Thunderbirdin Linux-artefaktien osalta. Tässä kattava selvitys tapahtuneesta ja sen taustoista.
Miten avain paljastui
GPG-aliyksityisavainta – jota käytettiin Linux-tarballien, RPM-pakettien ja tarkistussummatiedostojen allekirjoitukseen – säilytettiin vahingossa salaamattomana (ilman salasanasuojausta) yksityisessä GitHub-repositoriossa . Repositorio oli vain pienen Mozillan sisäisen ryhmän käytettävissä, mutta avainmateriaali oli tallennettu ilman tunnuslukusuojausta .
Mozillan tutkinnan tulokset
Mozilla tarkasti käytettävissä olevat auditointilokit eikä löytänyt todisteita siitä, että kukaan ulkopuolinen olisi käyttänyt avainta sen ollessa repositoriossa . Pääsy oli rajattu henkilöihin, joilla oli jo valmiiksi valtuutetut oikeudet avaimeen muiden kanavien kautta . Mozilla arvioi todellisen toimitusketjuhyökkäyksen riskin (esim. hyökkääjät jakamassa haitallisia allekirjoitettuja asennuspaketteja) matalaksi .
Toimenpiteet
-
Peruutus: Mozilla peruutti vaarantuneen avaimen syykoodilla 2, joka GPG/OpenPGP-spesifikaatiossa tarkoittaa ”avainmateriaali on vaarantunut” (vastaa
KEY_COMPROMISE) . -
Korvaava avain: Uusi GPG-allekirjoitusaliomainen julkaistiin sormenjäljellä:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Tämä aliavain on voimassa 5. elokuuta 2028 asti . Pääavaimen sormenjälki on
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Suojatoimet: Mozilla lisäsi sisäisiä suojatoimia estääkseen vastaavat vahinkolisäykset tulevaisuudessa .
-
Peruutuksen vaikutus: Koska GPG-peruutukset ovat pysyviä, vanhalla avaimella allekirjoitetut tiedostot lakkaavat toimimasta, kun käyttäjä tuo peruutuksen – tämä koskee myös vanhempia latauksia, ei vain tulevia .
Kenen on toimittava
Useimpien käyttäjien ei tarvitse tehdä mitään. Mozillan virallinen ohje kuuluu: ”Useimpien käyttäjien ei tarvitse toimia” . Automaattiset päivitysmekanismit hoitavat avaimenvaihdon läpinäkyvästi.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Mozillan GPG-allekirjoitusavain vuoti GitHubiin – uusi avain käyttöön, osa Linux-jakeluista vaatii manuaalitoimia"?
Mozilla paljasti 10. elokuuta 2026, että salaamaton kopio Firefoxin ja Thunderbirdin Linux allekirjoituksissa käytetystä GPG aliyksityisavaimesta oli vahingossa lisätty yksityiseen GitHub repositorioon.
What are the key points to validate first?
Mozilla paljasti 10. elokuuta 2026, että salaamaton kopio Firefoxin ja Thunderbirdin Linux allekirjoituksissa käytetystä GPG aliyksityisavaimesta oli vahingossa lisätty yksityiseen GitHub repositorioon. Tapaus sattui alle viikko massiivisen keyv npm pakettikaappauksen (ChainDrop) jälkeen, joka paljastettiin 4.