RespostasPublicado14 fontes
Mozilla Revoga Chave de Assinatura do Firefox e Thunderbird Após Vazamento no GitHub
Em 10 de agosto de 2026, a Mozilla revelou que uma cópia não criptografada de uma subchave GPG privada foi acidentalmente enviada a um repositório privado no GitHub, forçando a rotação imediata da chave. O incidente ocorreu menos de uma semana após o massivo ataque à cadeia de suprimentos do pacote keyv npm (ChainDr...
Publicado porEditado com DeepSeek-V4-FlashImagens geradas com GPT Image 1.5
Resposta de pesquisa
Principais conclusões
- Em 10 de agosto de 2026, a Mozilla revelou que uma cópia não criptografada de uma subchave GPG privada foi acidentalmente enviada a um repositório privado no GitHub, forçando a rotação imediata da chave.
- O incidente ocorreu menos de uma semana após o massivo ataque à cadeia de suprimentos do pacote keyv npm (ChainDrop), revelado em 4 de agosto de 2026, que comprometeu mais de 2.251 versões de 452 pacotes únicos.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Em 10 de agosto de 2026, a Mozilla divulgou que um funcionário, acidentalmente, fez o commit de uma cópia não criptografada de uma subchave privada GPG em um repositório privado do GitHub. O incidente forçou a rotação imediata da chave usada para assinar artefatos Linux do Firefox e Thunderbird. Veja abaixo todos os detalhes.
Como a chave foi exposta
A subchave privada GPG — utilizada para assinar arquivos compactados (tarballs), pacotes RPM e arquivos de soma de verificação (checksums) — foi enviada inadvertidamente em texto puro (sem criptografia) para um repositório privado do GitHub por um funcionário da Mozilla . O repositório era acessível apenas a um pequeno grupo dentro da Mozilla, mas o material da chave foi armazenado sem proteção de senha (passphrase) .
O que a investigação da Mozilla descobriu
A Mozilla revisou os registros de auditoria disponíveis e não encontrou evidências de que a chave foi acessada por terceiros não autorizados enquanto esteve no repositório . O acesso era limitado a pessoas que já tinham autorização para usar a chave por outros meios . A Mozilla avaliou o risco de um ataque real à cadeia de suprimentos (como a distribuição de instaladores maliciosos assinados) como baixo .
Ações tomadas
-
Revogação: A Mozilla revogou a chave comprometida usando o código de motivo 2, que na especificação GPG/OpenPGP significa "material da chave foi comprometido" (
KEY_COMPROMISE) . -
Chave substituta: Uma nova subchave de assinatura GPG foi emitida com a impressão digital (fingerprint):
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Esta subchave é válida até 5 de agosto de 2028 . A impressão digital da chave principal (parent key) é
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Salvaguardas: A Mozilla adicionou medidas de segurança internas para prevenir commits acidentais semelhantes no futuro .
-
Impacto da revogação: Como as revogações GPG são permanentes, os arquivos assinados com a chave antiga deixam de ser verificados depois que o usuário importa a revogação — isso se aplica a downloads antigos, não apenas aos futuros .
Quem precisa agir
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "Mozilla Revoga Chave de Assinatura do Firefox e Thunderbird Após Vazamento no GitHub"?
Em 10 de agosto de 2026, a Mozilla revelou que uma cópia não criptografada de uma subchave GPG privada foi acidentalmente enviada a um repositório privado no GitHub, forçando a rotação imediata da chave.
Quais são os pontos-chave para validar primeiro?
Em 10 de agosto de 2026, a Mozilla revelou que uma cópia não criptografada de uma subchave GPG privada foi acidentalmente enviada a um repositório privado no GitHub, forçando a rotação imediata da chave. O incidente ocorreu menos de uma semana após o massivo ataque à cadeia de suprimentos do pacote keyv npm (ChainDrop), revelado em 4 de agosto de 2026, que comprometeu mais de 2.251 versões de 452 pacotes únicos.