AnswersPublished14 sources
GPG-handtekeningensleutel Firefox en Thunderbird ingetrokken na lek in GitHub-repository
Op 10 augustus 2026 onthulde Mozilla dat een onversleutelde kopie van een GPG privésubsleutel voor Firefox en Thunderbird Linux artefacten per ongeluk in een privé GitHub repository was terechtgekomen. Het incident vond plaats minder dan een week na de grootschalige keyv npm package kaping (ChainDrop) van 4 augustus...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Research answer
Key takeaways
- Op 10 augustus 2026 onthulde Mozilla dat een onversleutelde kopie van een GPG privésubsleutel voor Firefox en Thunderbird Linux artefacten per ongeluk in een privé GitHub repository was terechtgekomen.
- Het incident vond plaats minder dan een week na de grootschalige keyv npm package kaping (ChainDrop) van 4 augustus 2026, waarbij meer dan 2.251 versies van 452 unieke pakketten werden gecompromitteerd.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Op 10 augustus 2026 maakte Mozilla bekend dat een medewerker per ongeluk een onversleutelde kopie van een GPG-privé-ondertekeningssubsleutel had geüpload naar een privé-GitHub-repository. Dit dwong het bedrijf tot een onmiddellijke sleutelrotatie voor Firefox- en Thunderbird-Linux-artefacten. Hieronder vind je een volledig overzicht van het incident.
Hoe de sleutel werd blootgesteld
De GPG-privésubsleutel – gebruikt om Linux-tarballs, RPM-pakketten en checksum-bestanden te ondertekenen – werd per ongeluk als platte tekst (onversleuteld) in een privé-GitHub-repository gezet door een Mozilla-medewerker . De repository was alleen toegankelijk voor een kleine groep binnen Mozilla, maar het sleutelmateriaal was niet beveiligd met een wachtwoordzin .
Wat Mozilla's onderzoek opleverde
Mozilla controleerde de beschikbare audittrails en vond geen enkel bewijs dat de sleutel door onbevoegden was ingezien terwijl deze in de repository lag . Alleen personen die al via andere wegen toegang hadden tot de sleutel, hadden toegang tot de repository . Mozilla schat het risico op een daadwerkelijke supply chain-aanval (bijvoorbeeld dat aanvallers kwaadaardige, ondertekende installatiebestanden verspreiden) als laag in .
Genomen maatregelen
-
Intrekking: Mozilla trok de gecompromitteerde sleutel in met reden code 2, wat in de GPG/OpenPGP-specificatie "sleutelmateriaal is gecompromitteerd" betekent (gelijk aan
KEY_COMPROMISE) . -
Vervangende sleutel: Er werd een nieuwe GPG-ondertekeningssubsleutel uitgegeven met vingerafdruk:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Deze subsleutel is geldig tot 5 augustus 2028 . De vingerafdruk van de moedersleutel is
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Beveiligingen: Mozilla heeft interne maatregelen toegevoegd om te voorkomen dat een dergelijke fout in de toekomst opnieuw gebeurt .
-
Gevolgen van de intrekking: Omdat GPG-intrekkingen permanent zijn, werken bestanden die met de oude sleutel zijn ondertekend niet meer zodra een gebruiker de intrekking importeert – dit geldt ook voor oudere downloads .
Wie moet actie ondernemen?
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "GPG-handtekeningensleutel Firefox en Thunderbird ingetrokken na lek in GitHub-repository"?
Op 10 augustus 2026 onthulde Mozilla dat een onversleutelde kopie van een GPG privésubsleutel voor Firefox en Thunderbird Linux artefacten per ongeluk in een privé GitHub repository was terechtgekomen.
What are the key points to validate first?
Op 10 augustus 2026 onthulde Mozilla dat een onversleutelde kopie van een GPG privésubsleutel voor Firefox en Thunderbird Linux artefacten per ongeluk in een privé GitHub repository was terechtgekomen. Het incident vond plaats minder dan een week na de grootschalige keyv npm package kaping (ChainDrop) van 4 augustus 2026, waarbij meer dan 2.251 versies van 452 unieke pakketten werden gecompromitteerd.