Mozilla отозвала GPG-ключ для Firefox и Thunderbird из-за утечки

Mozilla отозвала GPG-ключ подписи для Firefox и Thunderbird — из-за случайного попадания в приватный репозиторий на GitHub. Ключ был частью цепочки доверия для Linux-дистрибутивов, и хотя утечки не подтверждено, его сняли с доверия.

Прочитал, что у Mozilla отозвали GPG-подключ, использовавшийся для подписи Linux-архивов Firefox и Thunderbird. Копия ключа случайно оказалась в приватном репозитории на GitHub, доступ к которому имели только внутренние разработчики. Хотя нет доказательств утечки, ключ был отозван по причине «компрометации» — это значит, что все подписи, сделанные с его помощью, теперь считаются недоверенными. Срок действия старого ключа истекал в марте 2027 года, но замена произошла на семь месяцев раньше.

На мой взгляд, ключевое здесь — не сам факт утечки, а то, как она была расценена. Отзыв из-за компрометации, а не по сроку, — это серьёзный сигнал. Он означает, что даже если доступ был ограничен, доверие к цепочке поставок нарушено. Это не просто техническая ошибка — это кризис доверия. Особенно для тех, кто проверяет подписи вручную или использует репозитории вроде Fedora, RHEL или openSUSE, где могут быть проблемы с обновлением.

У себя в работе уже проверил, какие из моих клиентов используют ручную проверку подписей или официальные RPM-репозитории. У тех, кто работает с дистрибутивами, где ключ затронут, добавил в план на неделю обновление инструкций и проверку настройки GPG. У остальных — пока ничего не меняю, но отслеживаю, как поведут себя системы при попытке проверки старых сборок. Главное — не паниковать, но не пренебрегать: если доверие сломано, нужно восстанавливать его по правилам, а не игнорировать.