AnswersPublished14 sources
Mozilla trekker tilbake Firefox GPG-signeringsnøkkel etter utilsiktet GitHub-lekkasje
10. august 2026 avslørte Mozilla at en ukryptert GPG privat signeringsnøkkel for Firefox og Thunderbird Linux artefakter ved et uhell ble lastet opp til et privat GitHub lager.
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
Research answer
Key takeaways
- 10. august 2026 avslørte Mozilla at en ukryptert GPG privat signeringsnøkkel for Firefox og Thunderbird Linux artefakter ved et uhell ble lastet opp til et privat GitHub lager.
- Hendelsen fant sted mindre enn en uke etter det massive keyv npm pakkeangrepet (ChainDrop) 4.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
10. august 2026 kunngjorde Mozilla at en ukryptert kopi av en GPG-privat signeringsnøkkel ved et uhell ble lastet opp til et privat GitHub-lager, noe som tvang frem en umiddelbar nøkkelrotasjon for Firefox- og Thunderbird-linuxartefakter. Her følger en grundig gjennomgang av hendelsen og konteksten.
Hvordan nøkkelen ble eksponert
Den private GPG-nøkkelen – brukt til å signere Linux-tarballer, RPM-pakker og sjekksumfiler – ble utilsiktet lastet opp i klartekst (ukryptert) til et privat GitHub-lager av en Mozilla-ansatt . Lageret var kun tilgjengelig for en liten gruppe innad i Mozilla, men nøkkelen var lagret uten passordbeskyttelse .
Mozillas undersøkelse
Mozilla gjennomgikk tilgjengelige revisjonslogger og fant ingen tegn til at nøkkelen var blitt aksessert av uvedkommende mens den lå i lageret . Tilgangen var begrenset til personer som allerede hadde autorisert tilgang til nøkkelen via andre kanaler . Mozilla vurderte risikoen for et faktisk forsyningskjedeangrep (f.eks. at angripere distribuerer ondsinnede signerte installasjonsfiler) som lav .
Tiltak som er iverksatt
-
Tilbaketrekking: Mozilla tilbakekalte den kompromitterte nøkkelen med årsakskode 2, som i GPG/OpenPGP-spesifikasjonen betyr "nøkkelmateriale er kompromittert" (tilsvarer
KEY_COMPROMISE) . -
Erstatningsnøkkel: En ny GPG-signeringsnøkkel ble utstedt med fingeravtrykk:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Denne nøkkelen er gyldig til 5. august 2028 . Hovednøkkelens fingeravtrykk er
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Sikringstiltak: Mozilla har innført interne sikringstiltak for å forhindre lignende utilsiktede opplastinger i fremtiden .
-
Konsekvens av tilbaketrekking: Fordi GPG-tilbaketrekking er permanent, vil filer signert med den gamle nøkkelen slutte å verifisere når brukeren importerer tilbakekallingen – dette gjelder også eldre nedlastinger, ikke bare fremtidige .
Hvem må gjøre noe
De fleste brukere – ingen handling nødvendig. Mozillas offisielle veiledning sier: "For de fleste brukere er ingen handling nødvendig" . Automatiske oppdateringsmekanismer håndterer nøkkelovergangen sømløst.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Mozilla trekker tilbake Firefox GPG-signeringsnøkkel etter utilsiktet GitHub-lekkasje"?
10. august 2026 avslørte Mozilla at en ukryptert GPG privat signeringsnøkkel for Firefox og Thunderbird Linux artefakter ved et uhell ble lastet opp til et privat GitHub lager.
What are the key points to validate first?
10. august 2026 avslørte Mozilla at en ukryptert GPG privat signeringsnøkkel for Firefox og Thunderbird Linux artefakter ved et uhell ble lastet opp til et privat GitHub lager. Hendelsen fant sted mindre enn en uke etter det massive keyv npm pakkeangrepet (ChainDrop) 4.