Mozilla révoque sa clé GPG Firefox après une fuite accidentelle sur GitHub

Le 10 août 2026, Mozilla a annoncé avoir accidentellement commité une copie non chiffrée d'une sous-clé privée de signature GPG dans un dépôt GitHub privé, ce qui a forcé une rotation immédiate de la clé pour les artefacts Linux de Firefox et Thunderbird. Voici un décryptage complet de l'incident et de son contexte.

Comment la clé a été exposée

La sous-clé privée GPG — utilisée pour signer les archives Linux (tarballs), les paquets RPM et les fichiers de sommes de contrôle — a été commitée par inadvertance en texte clair (non chiffrée) dans un dépôt GitHub privé par un employé de Mozilla . Le dépôt n'était accessible qu'à un petit groupe au sein de Mozilla, mais le matériel de la clé a été stocké sans protection par phrase de passe .

Résultats de l'enquête de Mozilla

Mozilla a examiné les registres d'audit disponibles et n'a trouvé aucune preuve que la clé a été consultée par une partie non autorisée pendant qu'elle se trouvait dans le dépôt . L'accès était limité aux personnes qui avaient déjà un accès autorisé à la clé par d'autres moyens . Mozilla a évalué le risque d'une réelle attaque sur la chaîne d'approvisionnement (par exemple, des attaquants distribuant des installateurs signés malveillants) comme faible .

Mesures prises

• Révocation : Mozilla a révoqué la clé compromise avec le code de raison 2, qui, dans la spécification GPG/OpenPGP, signifie "le matériel de la clé a été compromis" (équivalent à KEY_COMPROMISE) .

• Clé de remplacement : Une nouvelle sous-clé de signature GPG a été émise avec l'empreinte :

  827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3

  Cette sous-clé est valable jusqu'au 5 août 2028 . L'empreinte de la clé parente est 14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353 .

• Mesures de protection : Mozilla a ajouté des garde-fous internes pour éviter que de tels commits accidentels ne se reproduisent à l'avenir .

• Impact de la révocation : Étant donné que les révocations GPG sont permanentes, les fichiers signés avec l'ancienne clé cessent d'être vérifiés une fois que l'utilisateur importe la révocation — cela s'applique aux anciens téléchargements, pas seulement aux futurs .