Mozilla thu hồi khóa ký GPG của Firefox và Thunderbird sau khi vô tình để lộ trên GitHub

Vào ngày 10 tháng 8 năm 2026, Mozilla thông báo rằng một nhân viên đã vô tình commit một bản sao không được mã hóa của khóa con ký GPG riêng tư vào một kho lưu trữ GitHub nội bộ, buộc phải thay thế khóa ngay lập tức cho các tạo phẩm Firefox và Thunderbird trên Linux. Dưới đây là phân tích toàn diện về sự cố và bối cảnh của nó.

Khóa đã bị lộ như thế nào

Khóa con GPG riêng tư — được sử dụng để ký các tarball Linux, gói RPM và tệp checksum — đã vô tình được commit dưới dạng văn bản thuần túy (không mã hóa) vào một kho lưu trữ GitHub nội bộ bởi một nhân viên của Mozilla . Kho lưu trữ này chỉ có thể truy cập bởi một nhóm nhỏ trong Mozilla, nhưng vật liệu khóa được lưu trữ mà không có bảo vệ bằng mật khẩu .

Kết quả điều tra của Mozilla

Mozilla đã xem xét các bản ghi kiểm toán có sẵn và không tìm thấy bằng chứng nào cho thấy khóa đã bị truy cập bởi bất kỳ bên trái phép nào trong thời gian nó tồn tại trong kho lưu trữ . Quyền truy cập bị giới hạn ở những cá nhân đã có quyền truy cập hợp pháp vào khóa thông qua các phương tiện khác . Mozilla đánh giá rủi ro về một cuộc tấn công chuỗi cung ứng thực tế (ví dụ: kẻ tấn công phân phối trình cài đặt độc hại đã được ký) là thấp .

Các hành động đã thực hiện

• Thu hồi: Mozilla đã thu hồi khóa bị xâm phạm với mã lý do 2, trong đặc tả GPG/OpenPGP có nghĩa là "vật liệu khóa đã bị xâm phạm" (tương đương với KEY_COMPROMISE) .

• Khóa thay thế: Một khóa con ký GPG mới đã được cấp với vân tay số:

  827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3

  Khóa con này có hiệu lực đến ngày 5 tháng 8 năm 2028 . Vân tay của khóa cha là 14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353 .

• Biện pháp bảo vệ: Mozilla đã thêm các biện pháp bảo vệ nội bộ để ngăn chặn các commit vô tình tương tự trong tương lai .

• Tác động của việc thu hồi: Vì việc thu hồi GPG là vĩnh viễn, các tệp đã được ký bằng khóa cũ ngừng xác minh sau khi người dùng nhập thông báo thu hồi — điều này áp dụng cho các bản tải xuống cũ hơn, không chỉ các bản tương lai .

Ai cần hành động

Hầu hết người dùng — không cần hành động. Hướng dẫn chính thức của Mozilla cho biết: "Đối với hầu hết người dùng, không cần hành động" . Các cơ chế cập nhật tự động xử lý quá trình chuyển đổi khóa một cách minh bạch.