JawabanDipublikasikan14 sumber
Mozilla Cabut Kunci Signing GPG Firefox dan Thunderbird Setelah Kebocoran di GitHub
Pada 10 Agustus 2026, Mozilla mengumumkan bahwa salinan tanpa enkripsi dari kunci privat GPG untuk menandatangani Firefox dan Thunderbird versi Linux tidak sengaja diunggah ke repositori GitHub pribadi. Insiden ini terjadi kurang dari sepekan setelah serangan rantai pasok massal keyv npm (ChainDrop) pada 4 Agustus 2...
Diterbitkan olehDiedit dengan DeepSeek-V4-FlashGambar dibuat dengan GPT Image 1.5
Jawaban penelitian
Poin-poin penting
- Pada 10 Agustus 2026, Mozilla mengumumkan bahwa salinan tanpa enkripsi dari kunci privat GPG untuk menandatangani Firefox dan Thunderbird versi Linux tidak sengaja diunggah ke repositori GitHub pribadi.
- Insiden ini terjadi kurang dari sepekan setelah serangan rantai pasok massal keyv npm (ChainDrop) pada 4 Agustus 2026, yang mengompromikan lebih dari 2.251 versi dari 452 paket unik.
- Pengguna Fedora 42 dan versi sebelumnya, RHEL, Rocky Linux, AlmaLinux, openSUSE, serta SUSE perlu menghapus kunci lama dan mengimpor kunci baru secara manual.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Pada 10 Agustus 2026, Mozilla mengungkapkan bahwa seorang karyawan secara tidak sengaja mengunggah salinan tanpa enkripsi dari kunci privat GPG ke repositori GitHub pribadi perusahaan. Kunci ini digunakan untuk menandatangani artefak Linux Firefox dan Thunderbird. Akibatnya, Mozilla langsung mencabut dan mengganti kunci tersebut. Berikut rincian lengkap insiden dan konteksnya.
Bagaimana kunci bocor
Kunci privat GPG — yang digunakan untuk menandatangani tarball Linux, paket RPM, dan file checksum — secara tidak sengaja di-commit dalam bentuk teks biasa (tanpa enkripsi) ke repositori GitHub pribadi oleh seorang karyawan Mozilla . Repositori tersebut hanya dapat diakses oleh sekelompok kecil orang di Mozilla, namun material kunci disimpan tanpa perlindungan passphrase .
Temuan investigasi Mozilla
Mozilla meninjau catatan audit yang tersedia dan tidak menemukan bukti bahwa kunci tersebut diakses oleh pihak yang tidak berwenang selama berada di repositori . Akses terbatas pada individu yang memang sudah memiliki akses sah ke kunci tersebut melalui cara lain . Mozilla menilai risiko terjadinya serangan rantai pasok yang sebenarnya (misalnya, penyerang mendistribusikan pemasang palsu yang ditandatangani) sebagai rendah .
Tindakan yang diambil
-
Pencabutan: Mozilla mencabut kunci yang dikompromikan dengan kode alasan 2, yang dalam spesifikasi GPG/OpenPGP berarti "material kunci telah dikompromikan" (setara dengan
KEY_COMPROMISE) . -
Kunci pengganti: Kunci signing GPG baru diterbitkan dengan sidik jari:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Kunci ini berlaku hingga 5 Agustus 2028 . Sidik jari kunci induk adalah
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Pengamanan: Mozilla menambahkan pengamanan internal untuk mencegah kejadian serupa di masa depan .
-
Dampak pencabutan: Karena pencabutan GPF bersifat permanen, file yang ditandatangani dengan kunci lama berhenti terverifikasi begitu pengguna mengimpor pencabutan — ini berlaku untuk unduhan lama, bukan hanya yang akan datang .
Siapa yang perlu mengambil tindakan
Panduan resmi Mozilla menyatakan: "Bagi sebagian besar pengguna, tidak ada tindakan yang diperlukan" . Mekanisme pembaruan otomatis menangani transisi kunci secara transparan.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Mozilla Cabut Kunci Signing GPG Firefox dan Thunderbird Setelah Kebocoran di GitHub"?
Pada 10 Agustus 2026, Mozilla mengumumkan bahwa salinan tanpa enkripsi dari kunci privat GPG untuk menandatangani Firefox dan Thunderbird versi Linux tidak sengaja diunggah ke repositori GitHub pribadi.
Apa poin penting yang harus divalidasi terlebih dahulu?
Pada 10 Agustus 2026, Mozilla mengumumkan bahwa salinan tanpa enkripsi dari kunci privat GPG untuk menandatangani Firefox dan Thunderbird versi Linux tidak sengaja diunggah ke repositori GitHub pribadi. Insiden ini terjadi kurang dari sepekan setelah serangan rantai pasok massal keyv npm (ChainDrop) pada 4 Agustus 2026, yang mengompromikan lebih dari 2.251 versi dari 452 paket unik.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Pengguna Fedora 42 dan versi sebelumnya, RHEL, Rocky Linux, AlmaLinux, openSUSE, serta SUSE perlu menghapus kunci lama dan mengimpor kunci baru secara manual.