AnswersPublished14 sources
Mozilla odwołuje klucz GPG Firefoksa po przypadkowym wycieku na GitHubie – co muszą wiedzieć użytkownicy Linuksa
10 sierpnia 2026 r. Mozilla ujawniła, że niezaszyfrowana kopia prywatnego podobklucza GPG dla Firefoksa i Thunderbirda trafiła przypadkowo do prywatnego repozytorium GitHub.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Research answer
Key takeaways
- 10 sierpnia 2026 r. Mozilla ujawniła, że niezaszyfrowana kopia prywatnego podobklucza GPG dla Firefoksa i Thunderbirda trafiła przypadkowo do prywatnego repozytorium GitHub.
- Incydent miał miejsce niecały tydzień po masowym ataku na pakiety npm keyv (ChainDrop) z 4 sierpnia 2026 r., który skompromitował ponad 2 251 wersji 452 unikalnych pakietów.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
10 sierpnia 2026 r. Mozilla poinformowała, że niezaszyfrowana kopia prywatnego podobklucza GPG została przypadkowo zatwierdzona w prywatnym repozytorium GitHub, co wymusiło natychmiastową rotację klucza dla artefaktów Firefoksa i Thunderbirda na Linuksa. Oto szczegółowy opis incydentu i jego kontekstu.
Jak doszło do wycieku klucza
Prywatny podobklucz GPG – używany do podpisywania tarballi Linuksa, pakietów RPM i plików sum kontrolnych – został nieumyślnie zatwierdzony w postaci zwykłego tekstu (bez szyfrowania) w prywatnym repozytorium GitHub przez pracownika Mozilli . Repozytorium było dostępne tylko dla niewielkiej grupy w Mozilli, ale materiał klucza został przechowany bez ochrony hasłem .
Wyniki dochodzenia Mozilli
Mozilla przejrzała dostępne dzienniki audytu i nie znalazła dowodów na to, że klucz został uzyskany przez nieupoważnioną osobę w czasie, gdy znajdował się w repozytorium . Dostęp był ograniczony do osób, które już i tak miały autoryzowany dostęp do klucza za pośrednictwem innych środków . Mozilla oceniła ryzyko faktycznego ataku na łańcuch dostaw (np. atakujący dystrybuujący złośliwe podpisane instalatory) jako niskie .
Podjęte działania
-
Odwołanie: Mozilla odwołała skompromitowany klucz z kodem powodu 2, co w specyfikacji GPG/OpenPGP oznacza „materiał klucza został skompromitowany” (odpowiednik
KEY_COMPROMISE) . -
Klucz zastępczy: Wydano nowy podobklucz GPG o odcisku palca:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Podobklucz jest ważny do 5 sierpnia 2028 r. . Odcisk palca klucza nadrzędnego to
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Zabezpieczenia: Mozilla dodała wewnętrzne zabezpieczenia, aby zapobiec podobnym przypadkowym zatwierdzeniom w przyszłości .
-
Konsekwencje odwołania: Ponieważ odwołania GPG są trwałe, pliki podpisane starym kluczem przestają być weryfikowane po zaimportowaniu odwołania przez użytkownika – dotyczy to starszych plików do pobrania, nie tylko przyszłych .
Kto musi podjąć działania
Większość użytkowników – żadne działanie nie jest wymagane. Oficjalne wytyczne Mozilli mówią: „Dla większości użytkowników żadne działanie nie jest wymagane” . Automatyczne mechanizmy aktualizacji obsługują przejście na nowy klucz w sposób przezroczysty.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Mozilla odwołuje klucz GPG Firefoksa po przypadkowym wycieku na GitHubie – co muszą wiedzieć użytkownicy Linuksa"?
10 sierpnia 2026 r. Mozilla ujawniła, że niezaszyfrowana kopia prywatnego podobklucza GPG dla Firefoksa i Thunderbirda trafiła przypadkowo do prywatnego repozytorium GitHub.
What are the key points to validate first?
10 sierpnia 2026 r. Mozilla ujawniła, że niezaszyfrowana kopia prywatnego podobklucza GPG dla Firefoksa i Thunderbirda trafiła przypadkowo do prywatnego repozytorium GitHub. Incydent miał miejsce niecały tydzień po masowym ataku na pakiety npm keyv (ChainDrop) z 4 sierpnia 2026 r., który skompromitował ponad 2 251 wersji 452 unikalnych pakietów.