AnswersPublished14 sources
Mozilla терміново змінює GPG-ключ підпису Firefox і Thunderbird через випадковий витік у приватному репозиторії GitHub
10 серпня 2026 року Mozilla повідомила, що незашифрована копія закритого підключа GPG для підпису артефактів Firefox і Thunderbird для Linux була випадково завантажена до приватного репозиторію GitHub. Інцидент стався менш ніж через тиждень після масштабної атаки на npm пакет keyv (ChainDrop) 4 серпня 2026 року, яка...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
Research answer
Key takeaways
- 10 серпня 2026 року Mozilla повідомила, що незашифрована копія закритого підключа GPG для підпису артефактів Firefox і Thunderbird для Linux була випадково завантажена до приватного репозиторію GitHub.
- Інцидент стався менш ніж через тиждень після масштабної атаки на npm пакет keyv (ChainDrop) 4 серпня 2026 року, яка вразила понад 2251 версію 452 унікальних пакунків.
- Mozilla не виявила доказів несанкціонованого доступу до ключа, але оцінює ризик атаки на ланцюжок постачання як низький.
- Новий підключ GPG має відбиток 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3 і дійсний до 5 серпня 2028 року.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
10 серпня 2026 року Mozilla оголосила, що випадково завантажила незашифровану копію закритого підключа GPG до приватного репозиторію GitHub, що змусило негайно змінити ключ для артефактів Firefox і Thunderbird для Linux. Ось повний огляд інциденту та його контексту.
Як було виявлено ключ
Закритий підключ GPG — який використовувався для підпису tarball-архівів Linux, RPM-пакунків і файлів контрольних сум — був ненавмисно завантажений у відкритому (незашифрованому) вигляді до приватного репозиторію GitHub співробітником Mozilla . Репозиторій був доступний лише невеликій групі всередині Mozilla, але матеріали ключа зберігалися без захисту парольною фразою .
Результати розслідування Mozilla
Mozilla перевірила доступні журнали аудиту та не виявила доказів того, що ключ був доступний неавторизованим особам під час його перебування в репозиторії . Доступ мали лише ті особи, які вже мали авторизований доступ до ключа через інші канали . Mozilla оцінила ризик реальної атаки на ланцюжок постачання (наприклад, розповсюдження зловмисниками підписаних інсталяторів) як низький .
Вжиті заходи
-
Відкликання: Mozilla відкликала скомпрометований ключ із кодом причини 2, який у специфікації GPG/OpenPGP означає "матеріали ключа були скомпрометовані" (еквівалент
KEY_COMPROMISE) . -
Новий ключ: Випущено новий підключ GPG з відбитком:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Цей підключ дійсний до 5 серпня 2028 року . Відбиток батьківського ключа:
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Заходи безпеки: Mozilla додала внутрішні запобіжники, щоб уникнути подібних випадкових завантажень у майбутньому .
-
Наслідки відкликання: Оскільки відкликання GPG є остаточним, файли, підписані старим ключем, перестають проходити перевірку після імпорту користувачем інформації про відкликання — це стосується не лише майбутніх, але й уже завантажених раніше файлів .
Кому потрібно вжити заходів
Більшість користувачів — жодних дій не потрібно. Офіційна інструкція Mozilla стверджує: "Для більшості користувачів жодних дій не потрібно" . Автоматичні механізми оновлення виконують перехід на новий ключ прозоро.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Mozilla терміново змінює GPG-ключ підпису Firefox і Thunderbird через випадковий витік у приватному репозиторії GitHub"?
10 серпня 2026 року Mozilla повідомила, що незашифрована копія закритого підключа GPG для підпису артефактів Firefox і Thunderbird для Linux була випадково завантажена до приватного репозиторію GitHub.
What are the key points to validate first?
10 серпня 2026 року Mozilla повідомила, що незашифрована копія закритого підключа GPG для підпису артефактів Firefox і Thunderbird для Linux була випадково завантажена до приватного репозиторію GitHub. Інцидент стався менш ніж через тиждень після масштабної атаки на npm пакет keyv (ChainDrop) 4 серпня 2026 року, яка вразила понад 2251 версію 452 унікальних пакунків.
What should I do next in practice?
Mozilla не виявила доказів несанкціонованого доступу до ключа, але оцінює ризик атаки на ланцюжок постачання як низький.