Mozilla заменила GPG‑ключ для заверения артефактов релизов Firefox и Thunderbird

Mozilla объявила о замене GPG‑ключа, применяемого для заверения цифровой подписью артефактов релизов Firefox и Thunderbird. Это произошло после непредумышленной компрометации на GitHub закрытых GPG‑ключей проектов.

В компании обнаружили доказательств несанкционированного доступа к ключу в репозитории. Доступ к нему был ограничен маленький группой внутри Mozilla, все члены которой уже имели авторизованный доступ другими способами. После этого компания отозвала предыдущий ключ подписи и добавила меры защиты для предотвращения подобных проблем в будущем.

Большинству пользователей не потребуется предпринимать никаких действий.

Тем не менее есть два случая, когда им может понадобиться новый ключ:

• при ручной проверке подписей GPG;

• при использовании RPM‑пакетов Firefox.

Thunderbird не предоставляет официальные RPM‑пакеты, следовательно никаких действий, специфичных для них, не требуется.

В версии Fedora 43 и более поздних никаких специальных действий не требуется. Во время следующего обновления dnf загрузит обновлённый ключ. В случае с Fedora 42 и более старыми, RHEL/Rocky/Almalinux Dnf не может заменить ключ самостоятельно. Операцию требуется проделать удалить вручную:

sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353

sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg

sudo dnf clean all

Важно удалить предыдущий ключ подписи перед импортом нового. 

Аналогично и с дистрибутивами на основе openSUSE/SUSE, где zypper не заменит ключ самостоятельно, и его необходимо удалить вручную. Потребуется применять следующие команды:

sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353

sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg

sudo zypper refresh

Срок действия нового ключа GPG истекает 05.08.2028.

Новый публичный ключ и аннулированный предыдущий можно получить тут.

Из‑за особенностей GPG, релизы, подписанные предыдущим ключом, больше не будут поддаваться проверке после импорта аннулированного ключа.

Ранее сообщалось, что Mozilla тестирует обновлённую версию Firefox под названием Nightly. Браузер получил более округлые и крупные вкладки, панели инструментов и контекстные меню, а также новые иконки и градиентную подложку для панели вкладок.