คำตอบเผยแพร่แล้ว14 แหล่งที่มา
Mozilla เพิกถอนคีย์ GPG ลายเซ็น Firefox หลังรั่วไหลบน GitHub – คีย์ส่วนตัวถูก Commit โดยไม่ได้เข้ารหัส
Mozilla เปิดเผยเมื่อวันที่ 10 สิงหาคม 2026 ว่ามีพนักงาน Commit คีย์ GPG ส่วนตัว (private subkey) ที่ไม่ได้เข้ารหัสโดยไม่ได้ตั้งใจลงใน GitHub private repository เหตุการณ์ดังกล่าวเกิดขึ้นหลังจากการโจมตีซัพพลายเชน npm package 'keyv' (ChainDrop) เพียงไม่กี่วัน ซึ่งส่งผลกระทบต่อ 452 แพคเกจและมากกว่า 2,251 เวอร์ชัน Mozill...
เผยแพร่โดยแก้ไขด้วย DeepSeek-V4-Flashรูปภาพสร้างด้วย GPT Image 1.5
คำตอบการวิจัย
ประเด็นสำคัญ
- Mozilla เปิดเผยเมื่อวันที่ 10 สิงหาคม 2026 ว่ามีพนักงาน Commit คีย์ GPG ส่วนตัว (private subkey) ที่ไม่ได้เข้ารหัสโดยไม่ได้ตั้งใจลงใน GitHub private repository
- เหตุการณ์ดังกล่าวเกิดขึ้นหลังจากการโจมตีซัพพลายเชน npm package 'keyv' (ChainDrop) เพียงไม่กี่วัน ซึ่งส่งผลกระทบต่อ 452 แพคเกจและมากกว่า 2,251 เวอร์ชัน
- Mozilla ตรวจสอบแล้วพบว่าไม่มีหลักฐานว่าผู้ไม่หวังดีเข้าถึงคีย์ดังกล่าว แต่ก็เพิกถอนและออกคีย์ใหม่ทันที พร้อมกับใช้รหัสเหตุผลที่ 2 (KEY COMPROMISE)
- ผู้ใช้โดยส่วนใหญ่ไม่ต้องดำเนินการใดๆ แต่ผู้ที่ใช้ Fedora 42 หรือเก่ากว่า RHEL Rocky Linux AlmaLinux และ openSUSE/SUSE ต้องลบคีย์เก่าและติดตั้งคีย์ใหม่ด้วยตนเอง
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
เมื่อวันที่ 10 สิงหาคม 2026 Mozilla ได้เปิดเผยว่ามีพนักงานของบริษัทได้ Commit สำเนาคีย์ GPG ส่วนตัว (private signing subkey) ที่ไม่ได้เข้ารหัสลงใน GitHub private repository โดยไม่ได้ตั้งใจ ส่งผลให้ต้องดำเนินการเปลี่ยนคีย์สำหรับไฟล์อาร์ติแฟกต์ของ Firefox และ Thunderbird บน Linux อย่างเร่งด่วน
คีย์รั่วไหลได้อย่างไร
คีย์ GPG ส่วนตัวดังกล่าว — ซึ่งใช้ในการเซ็นชื่อไฟล์ tarball ของ Linux, RPM packages, และ checksum files — ถูก Commit ในรูปแบบ plain text (ไม่ได้เข้ารหัส) ลงใน GitHub private repository ของบริษัท โดยพนักงานของ Mozilla repository นี้มีผู้เข้าถึงได้เฉพาะกลุ่มเล็กๆ ภายใน Mozilla เท่านั้น แต่ถึงกระนั้นคีย์ดังกล่าวก็ถูกจัดเก็บไว้โดยไม่มีรหัสผ่านป้องกัน (passphrase)
ผลการสอบสวนของ Mozilla
Mozilla ได้ตรวจสอบบันทึก audit ที่มีอยู่และ ไม่พบหลักฐานว่ามีผู้ไม่หวังดีเข้าถึงคีย์ดังกล่าว ในช่วงเวลาที่คีย์อยู่ใน repository การเข้าถึงถูกจำกัดเฉพาะบุคคลที่ได้รับอนุญาตให้เข้าถึงคีย์อยู่แล้วผ่านช่องทางอื่นๆ Mozilla ประเมินความเสี่ยงต่อการเกิดการโจมตีซัพพลายเชน (เช่น ผู้โจมตีแจกจ่ายตัวติดตั้งปลอมที่เซ็นชื่อด้วยคีย์ที่รั่วไหล) ว่า อยู่ในระดับต่ำ
มาตรการที่ดำเนินการ
-
การเพิกถอน: Mozilla เพิกถอนคีย์ที่รั่วไหลด้วย รหัสเหตุผลที่ 2 ซึ่งในข้อกำหนด GPG/OpenPGP หมายถึง 'กุญแจถูกบุกรุก' (key material has been compromised) หรือเทียบเท่ากับ
KEY_COMPROMISE -
คีย์ทดแทน: Mozilla ได้ออกคีย์ GPG ใหม่ (signing subkey) โดยมีค่า fingerprint ดังนี้:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3คีย์นี้มีอายุถึงวันที่ 5 สิงหาคม 2028 ส่วน fingerprint ของ parent key คือ
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353 -
มาตรการป้องกัน: Mozilla เพิ่มระบบป้องกันภายในเพื่อป้องกันการ Commit ที่ผิดพลาดในลักษณะเดียวกันในอนาคต
-
ผลกระทบจากการเพิกถอน: เนื่องจากการเพิกถอน GPK เป็นการถาวร ไฟล์ที่เซ็นชื่อด้วยคีย์เก่า จะไม่สามารถตรวจสอบได้อีกต่อไป เมื่อผู้ใช้ import ใบเพิกถอน (revocation) ซึ่งใช้กับไฟล์ดาวน์โหลดเก่าเช่นกัน ไม่ใช่แค่ไฟล์ใหม่
ผู้ใช้กลุ่มใดต้องดำเนินการ
ผู้ใช้ส่วนใหญ่ — ไม่ต้องดำเนินการใดๆ คำแนะนำอย่างเป็นทางการของ Mozilla ระบุว่า: 'สำหรับผู้ใช้ส่วนใหญ่ ไม่ต้องดำเนินการใดๆ' กลไกอัปเดตอัตโนมัติจะจัดการเปลี่ยนคีย์ให้โดยอัตโนมัติ
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "Mozilla เพิกถอนคีย์ GPG ลายเซ็น Firefox หลังรั่วไหลบน GitHub – คีย์ส่วนตัวถูก Commit โดยไม่ได้เข้ารหัส" คืออะไร
Mozilla เปิดเผยเมื่อวันที่ 10 สิงหาคม 2026 ว่ามีพนักงาน Commit คีย์ GPG ส่วนตัว (private subkey) ที่ไม่ได้เข้ารหัสโดยไม่ได้ตั้งใจลงใน GitHub private repository
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
Mozilla เปิดเผยเมื่อวันที่ 10 สิงหาคม 2026 ว่ามีพนักงาน Commit คีย์ GPG ส่วนตัว (private subkey) ที่ไม่ได้เข้ารหัสโดยไม่ได้ตั้งใจลงใน GitHub private repository เหตุการณ์ดังกล่าวเกิดขึ้นหลังจากการโจมตีซัพพลายเชน npm package 'keyv' (ChainDrop) เพียงไม่กี่วัน ซึ่งส่งผลกระทบต่อ 452 แพคเกจและมากกว่า 2,251 เวอร์ชัน
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?
Mozilla ตรวจสอบแล้วพบว่าไม่มีหลักฐานว่าผู้ไม่หวังดีเข้าถึงคีย์ดังกล่าว แต่ก็เพิกถอนและออกคีย์ใหม่ทันที พร้อมกับใช้รหัสเหตุผลที่ 2 (KEY COMPROMISE)