답변게시됨4시간 전Last edited 4시간 전19 소스

모질라, 파이어폭스 및 선더버드 GPG 서명 키 긴급 교체…GitHub 개인 저장소에 평문 키 유출

모질라는 2026년 8월 10일, 파이어폭스와 선더버드 리눅스 아티팩트 서명에 사용된 GPG 개인 서브키의 암호화되지 않은 복사본이 GitHub 개인 저장소에 실수로 커밋됐다고 공개했습니다. 모질라는 감사 기록 검토 결과 무단 접근 증거는 발견되지 않았으며, 공급망 공격 위험은 낮다고 평가했습니다.

Studio Global AI로 검색 및 팩트체크 인기 페이지 더 보기

An abstract digital illustration representing a cryptographic key being exposed in a GitHub repository, with glowing binary code and a shield symbolizing compromised security. — What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey wasMozilla revoked and replaced its GPG signing key after an unencrypted private subkey was accidentally committed to a private GitHub repository on August 10, 2026.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
openai.com

2026년 8월 10일, 모질라는 파이어폭스(Firefox)와 선더버드(Thunderbird) 리눅스용 아티팩트(artifact)의 GPG 서명에 사용되던 개인 서브키(private subkey)가 암호화되지 않은 상태로 GitHub 개인 저장소에 실수로 커밋된 사실을 공개하고, 즉시 키를 교체했습니다. 이 글은 사건의 경위와 영향, 필요한 조치를 상세히 설명합니다.

키는 어떻게 유출됐나

문제의 GPG 개인 서브키는 리눅스 tarball, RPM 패키지, 체크섬(checksum) 파일 서명에 사용됐습니다. 모질라 직원이 암호화되지 않은 평문 상태로 GitHub 개인 저장소에 실수로 커밋하면서 유출됐습니다 . 해당 저장소는 모질라 내 소수 그룹만 접근 가능했지만, 키 자료는 패스프레이즈(passphrase) 보호 없이 저장됐습니다 .

모질라 조사 결과

모질라는 가용한 감사 기록(audit records)을 검토한 결과, 키가 저장소에 있는 동안 무단 접근한 증거는 발견되지 않았다고 밝혔습니다 . 접근 권한이 있던 소수는 이미 다른 경로를 통해 키에 접근할 권한이 있는 사람들이었습니다 . 모질라는 이 사건으로 인한 실제 공급망 공격(예: 공격자가 위조된 서명 설치 프로그램 유포) 가능성은 낮다고 평가했습니다 .

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

Studio Global AI로 검색 및 팩트체크

사람들은 또한 묻습니다.