Mozilla紧急撤销并更换GPG签名密钥：一次GitHub误操作引发的安全事件

已采取的措施

• 撤销：Mozilla使用理由代码2（KEY_COMPROMISE，即“密钥材料已泄露”）撤销了受影响的密钥。

• 更换密钥：发布了一个新的GPG签名子密钥，其指纹为：

  827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3

  此子密钥有效期至2028年8月5日。主密钥指纹为

  14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353

  。

• 安全加固：Mozilla添加了内部防护措施，以防止未来再次发生类似的意外提交。

• 撤销的影响：由于GPG撤销是永久性的，一旦用户导入撤销证书，旧密钥签署的文件将停止验证——这适用于旧版本下载，而不仅仅是未来版本。

谁需要采取行动

大多数用户——无需任何操作。 Mozilla官方声明明确指出：“对于大多数用户，无需采取任何操作。” 自动更新机制会透明地处理密钥过渡。

以下群体需要手动干预：

针对受影响发行版的手动移除和导入命令如下：

之后运行

sudo dnf clean all

sudo zypper refresh

背景：更广泛的供应链安全隐忧

本次事件发生在8月4日大规模keyv npm包劫持事件（ChainDrop） 被披露后的不到一周内。在ChainDrop攻击中，名为TeamPCP的威胁组织攻破了keyv、cacheable等相关npm包维护者的GitHub账户，发布了恶意版本，部署了一个自传播的凭证窃取蠕虫（Shai-Hulud），该蠕虫迅速扩散至超过2,251个版本的452个独立软件包。

Mozilla此次事件暴露了另一种同样紧迫的供应链风险：内部仓库中的人为失误导致签名密钥意外泄露，而非外部账户被黑。将这两起事件放在一起看，软件供应链的安全性正面临着来自蓄意劫持（如keyv事件）和无意凭证泄露（如Mozilla事件）的双重威胁——两者都能迫使大规模密钥轮换、破坏验证链，并给下游用户带来手动修复的负担。