ОтветыОпубликовано14 источники
Mozilla срочно меняет GPG-ключ Firefox и Thunderbird из-за утечки в GitHub
10 августа 2026 года Mozilla объявила, что незашифрованная копия приватного GPG подключа для подписи артефактов Firefox и Thunderbird под Linux была случайно зафиксирована в приватном репозитории GitHub. Инцидент произошёл менее чем через неделю после масштабной атаки на цепочку поставок npm (ChainDrop), раскрытой 4...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
Ответ на исследование
Ключевые выводы
- 10 августа 2026 года Mozilla объявила, что незашифрованная копия приватного GPG подключа для подписи артефактов Firefox и Thunderbird под Linux была случайно зафиксирована в приватном репозитории GitHub.
- Инцидент произошёл менее чем через неделю после масштабной атаки на цепочку поставок npm (ChainDrop), раскрытой 4 августа 2026 года, в ходе которой были скомпрометированы более 2251 версии 452 уникальных пакетов.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
10 августа 2026 года Mozilla раскрыла, что сотрудник случайно загрузил незашифрованную копию приватного GPG-подключа в приватный репозиторий GitHub, что вынудило компанию немедленно заменить ключ подписи для артефактов Firefox и Thunderbird под Linux. Вот полный разбор инцидента и его контекста.
Как произошла утечка
Приватный GPG-подключ — используемый для подписи Linux-архивов (tarballs), RPM-пакетов и файлов контрольных сумм — был случайно зафиксирован в открытом виде (без парольной защиты) в приватном репозитории GitHub одним из сотрудников Mozilla . Репозиторий был доступен только небольшой группе внутри Mozilla, но ключевой материал хранился без защиты парольной фразы .
Результаты расследования Mozilla
Mozilla проверила доступные журналы аудита и не нашла доказательств того, что ключ был получен неавторизованными лицами за время его нахождения в репозитории . Доступ был ограничен сотрудниками, которые и так уже имели доступ к ключу через другие каналы . Mozilla оценила риск реальной атаки на цепочку поставок (например, распространение злоумышленниками вредоносных подписанных установщиков) как низкий .
Предпринятые действия
-
Отзыв ключа: Mozilla отозвала скомпрометированный ключ с кодом причины 2, что в спецификации GPG/OpenPGP означает «ключевой материал скомпрометирован» (эквивалент
KEY_COMPROMISE) . -
Новый ключ: Был выпущен новый GPG-подключ с отпечатком:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Он действителен до 5 августа 2028 года . Отпечаток родительского ключа —
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Защитные меры: Mozilla добавила внутренние механизмы для предотвращения подобных случайных коммитов в будущем .
-
Последствия отзыва: Поскольку отзыв GPG-ключа необратим, файлы, подписанные старым ключом, перестают проходить проверку после импорта отзыва пользователем — это касается и старых загрузок, не только новых .
Кому нужно предпринять действия
Большинству пользователей — ничего делать не нужно. В официальном заявлении Mozilla говорится: «Для большинства пользователей никаких действий не требуется» . Механизмы автоматического обновления обрабатывают смену ключа незаметно.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Mozilla срочно меняет GPG-ключ Firefox и Thunderbird из-за утечки в GitHub»?
10 августа 2026 года Mozilla объявила, что незашифрованная копия приватного GPG подключа для подписи артефактов Firefox и Thunderbird под Linux была случайно зафиксирована в приватном репозитории GitHub.
Какие ключевые моменты необходимо проверить в первую очередь?
10 августа 2026 года Mozilla объявила, что незашифрованная копия приватного GPG подключа для подписи артефактов Firefox и Thunderbird под Linux была случайно зафиксирована в приватном репозитории GitHub. Инцидент произошёл менее чем через неделю после масштабной атаки на цепочку поставок npm (ChainDrop), раскрытой 4 августа 2026 года, в ходе которой были скомпрометированы более 2251 версии 452 уникальных пакетов.