AnswersPublished14 sources
מוזילה מבטלת מפתח GPG של פיירפוקס לאחר הדלפה ל-GitHub: מה משתמשי לינוקס צריכים לדעת
ב 10 באוגוסט 2026, מוזילה חשפה שעותק לא מוצפן של מפתח משנה פרטי (subkey) מסוג GPG, המשמש לחתימה על קבצי פיירפוקס ות'אנדרבירד עבור לינוקס, הועלה בטעות לריפוזיטורי פרטי של GitHub. התקרית אירעה פחות משבוע לאחר מתקפת שרשרת האספקה הענקית "ChainDrop" על חבילות ה npm keyv, שהתגלתה ב 4 באוגוסט 2026, וכללה למעלה מ 2,251 גרסא...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
Research answer
Key takeaways
- ב 10 באוגוסט 2026, מוזילה חשפה שעותק לא מוצפן של מפתח משנה פרטי (subkey) מסוג GPG, המשמש לחתימה על קבצי פיירפוקס ות'אנדרבירד עבור לינוקס, הועלה בטעות לריפוזיטורי פרטי של GitHub.
- התקרית אירעה פחות משבוע לאחר מתקפת שרשרת האספקה הענקית "ChainDrop" על חבילות ה npm keyv, שהתגלתה ב 4 באוגוסט 2026, וכללה למעלה מ 2,251 גרסאות זדוניות של 452 חבילות שונות.
- מוזילה לא מצאה ראיות לגישה לא מורשית למפתח, אך החליטה לבטלו ולהוציא מפתח חלופי חדש עם טביעת אצבע 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3, בתוקף עד 5 באוגוסט 2028.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
ב-10 באוגוסט 2026, מוזילה הודיעה שעובד החברה העלה בטעות עותק לא מוצפן של מפתח משנה (subkey) פרטי מסוג GPG לריפוזיטורי פרטי של GitHub. המפתח שימש לחתימה על קבצי הפצה של פיירפוקס ות'אנדרבירד עבור לינוקס, כגון קובצי tarball, חבילות RPM וקובצי checksum. בעקבות זאת, מוזילה ביטלה את המפתח הבעייתי והנפיקה מפתח חדש. להלן הפרטים וההשלכות עבור משתמשי לינוקס.
כיצד המפתח נחשף
מפתח המשנה הפרטי של GPG הועלה בטעות לריפוזיטורי פרטי של GitHub בצורתו הגולמית, ללא הצפנה, על ידי עובד מוזילה . הריפוזיטורי היה נגיש רק לקבוצה מצומצמת של עובדים בארגון, אך המפתח עצמו לא היה מוגן בסיסמה (passphrase) .
ממצאי החקירה של מוזילה
מוזילה בדקה את רישומי הביקורת הזמינים ולא מצאה ראיות לכך שגורם לא מורשה ניגש למפתח בזמן שהיה בריפוזיטורי . הגישה אליו הוגבלה לאנשים שכבר הייתה להם גישה מורשית למפתח באמצעים אחרים . מוזילה העריכה את הסיכון להתקפת שרשרת אספקה בפועל (לדוגמה, הפצת מתקינים זדוניים עם חתימה תקפה) כנמוך .
הצעדים שננקטו
-
ביטול (Revocation): מוזילה ביטלה את המפתח הבעייתי עם קוד סיבה 2 (reason code 2), אשר בתקן GPG/OpenPGP פירושו "חומר המפתח נפגע" (KEY_COMPROMISE) .
-
מפתח חלופי: הונפק מפתח משנה חדש לחתימה בעל טביעת האצבע:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3מפתח זה תקף עד 5 באוגוסט 2028 . טביעת האצבע של מפתח האב היא
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
אמצעי הגנה: מוזילה הוסיפה מנגנוני הגנה פנימיים כדי למנוע העלאות דומות בטעות בעתיד .
-
השפעת הביטול: מאחר שביטולי GPG הם קבועים, קבצים שנחתמו עם המפתח הישן יפסיקו לעבור אימות לאחר שהמשתמש ייבא את נתוני הביטול. הדבר חל על כל ההורדות הקודמות, ולא רק על עתידיות .
מי נדרש לפעול
רוב המשתמשים — לא נדרשת פעולה. ההנחיה הרשמית של מוזילה קובעת: "עבור רוב המשתמשים, לא נדרשת פעולה" . מנגנוני העדכון האוטומטיים מטפלים במעבר למפתח החדש באופן שקוף.
נדרשת פעולה ידנית עבור הקבוצות הבאות:
| תרחיש | פעולה נדרשת |
|---|---|
| פדורה 42 וגרסאות קודמות, RHEL, רוקי לינוקס, אלמה לינוקס | dnf בגרסאות אלה אינו יכול להחליף את המפתח באופן אוטומטי. העדכונים ייכשלו עם שגיאות כמו "Import of the key didn't help, wrong key?" או "The GPG keys listed for the mozilla repository are already installed but they are not correct for this package." המשתמשים חייבים להסיר ידנית את המפתח הישן ולייבא את החדש . |
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "מוזילה מבטלת מפתח GPG של פיירפוקס לאחר הדלפה ל-GitHub: מה משתמשי לינוקס צריכים לדעת"?
ב 10 באוגוסט 2026, מוזילה חשפה שעותק לא מוצפן של מפתח משנה פרטי (subkey) מסוג GPG, המשמש לחתימה על קבצי פיירפוקס ות'אנדרבירד עבור לינוקס, הועלה בטעות לריפוזיטורי פרטי של GitHub.
What are the key points to validate first?
ב 10 באוגוסט 2026, מוזילה חשפה שעותק לא מוצפן של מפתח משנה פרטי (subkey) מסוג GPG, המשמש לחתימה על קבצי פיירפוקס ות'אנדרבירד עבור לינוקס, הועלה בטעות לריפוזיטורי פרטי של GitHub. התקרית אירעה פחות משבוע לאחר מתקפת שרשרת האספקה הענקית "ChainDrop" על חבילות ה npm keyv, שהתגלתה ב 4 באוגוסט 2026, וכללה למעלה מ 2,251 גרסאות זדוניות של 452 חבילות שונות.
What should I do next in practice?
מוזילה לא מצאה ראיות לגישה לא מורשית למפתח, אך החליטה לבטלו ולהוציא מפתח חלופי חדש עם טביעת אצבע 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3, בתוקף עד 5 באוגוסט 2028.