Ключът, с който се подписват линукс пакетите на Firefox и Thunderbird, е оттеглен на 10 август. Причината е подключ, попаднал по невнимание в частно хранилище на Mozilla. Няма следа от неоторизиран достъп, но ключът е сменен въпреки това.
- На 10 август Mozilla оттегли предишния ключ за подписване на линукс пакетите на Firefox и Thunderbird.
- Причината: копие от стария подключ е било по невнимание качено в ЧАСТНО хранилище на Mozilla. Компанията заявява, че няма данни за достъп от неоторизирана страна.
- Новият отпечатък важи до август 2028. По-старите дистрибуции искат ръчно махане на стария ключ и внасяне на новия.
Ако утре пакетният ти мениджър се разкрещи, че подписът не се проверява, това не е повреда. Планирано е.
Частно хранилище значи затворено за външни хора. Рискът е нисък и Mozilla го казва право. Въпреки това ключът е изгорен, а не оставен под наблюдение.
Точно това е правилният рефлекс и заслужава да се назове. Ключ, който е бил на място, където не е трябвало да бъде, се третира като компрометиран. Без изчакване, без вероятности, без обяснения защо може би е минало.
Правилото важи и за нашите ключове, и за твоите. Мине ли тайна през грешен канал, тя не се пази. Сменя се.