Firefox-GPG-Signaturschlüssel nach Offenlegung auf GitHub ersetzt

Mozilla hat den Firefox-GPG-Signaturschlüssel ersetzt, der für bestimmte Veröffentlichungsdateien von Firefox und Thunderbird verwendet wurde, nachdem versehentlich eine unverschlüsselte Kopie in ein privates GitHub-Repository übertragen worden war.

Das Unternehmen erklärte, keine Hinweise darauf gefunden zu haben, dass eine unbefugte Person auf den offengelegten Schlüssel zugegriffen hat. Mozilla bewertete auch das Risiko eines Lieferkettenangriffs als gering, da nur eine kleine Gruppe von Personen Zugriff auf das Repository hatte.

Dennoch widerrief Mozilla vorsorglich den bisherigen Schlüssel und wechselte zu einem neuen Signatur-Unterschlüssel.

Schlüssel signierte Linux-Veröffentlichungsdateien

Der betroffene Firefox-GPG-Signaturschlüssel wurde für Linux-Tarballs, RPM-Pakete und Prüfsummendateien verwendet. Mozilla nutzte ihn außerdem für bestimmte Veröffentlichungsdateien von Thunderbird.

GPG-Schlüssel helfen Nutzern dabei zu überprüfen, ob Softwarepakete vom erwarteten Herausgeber stammen und während der Übertragung nicht verändert wurden. Wenn Angreifer die Kontrolle über einen Signaturschlüssel erlangen, könnten sie potenziell Schadsoftware signieren, die dadurch legitim erscheint.

Mozilla erklärte, dass die offengelegte Kopie in einem privaten Repository gespeichert war. Der Zugriff war auf eine kleine interne Gruppe beschränkt, deren Mitglieder bereits auf anderem Wege autorisierten Zugriff auf den Schlüssel hatten.

Bei der Überprüfung der verfügbaren Audit-Protokolle wurden keine unbefugten Zugriffe festgestellt, während sich der Schlüssel im Repository befand.

Mozilla widerruft den alten Schlüssel

Mozilla reagierte, indem es den bisherigen Unterschlüssel widerrief und einen Ersatz ausgab. Der neue Unterschlüssel bleibt bis zum 5. August 2028 gültig.

Das Unternehmen führte außerdem Maßnahmen ein, die eine ähnliche Offenlegung künftig verhindern sollen. Obwohl Mozilla nicht alle internen Änderungen bekannt gegeben hat, begrenzt der Schlüsselwechsel das mit der versehentlich gespeicherten Kopie verbundene Risiko.

Die meisten Firefox- und Thunderbird-Nutzer müssen nichts unternehmen. Reguläre Browser-Updates sollten weiterhin wie gewohnt funktionieren.

Personen, die Softwaresignaturen manuell überprüfen, müssen jedoch den neuen öffentlichen Signaturschlüssel sowie das Widerrufszertifikat für den alten Schlüssel importieren.

Einige RPM-Nutzer müssen möglicherweise manuell aktualisieren

Linux-Nutzer, die Firefox über RPM-Pakete installieren, müssen möglicherweise zusätzliche Schritte durchführen, um weiterhin Updates zu erhalten.

Mozilla hat separate Anleitungen für Systeme veröffentlicht, auf denen Fedora, auf Red Hat Enterprise Linux basierende Distributionen, Rocky Linux, AlmaLinux, openSUSE und SUSE laufen. Die genauen Schritte hängen von der Betriebssystemversion und der Paketkonfiguration ab.

Thunderbird-Nutzer müssen keine RPM-spezifischen Änderungen vornehmen, da Thunderbird keine offiziellen RPM-Pakete anbietet.

Der Vorfall unterstreicht, wie wichtig der Schutz von Signaturmaterial in der gesamten Software-Lieferkette ist. Selbst eine Offenlegung in einem privaten Repository erfordert eine sorgfältige Reaktion, insbesondere wenn ein Schlüssel weit verbreitete Software verifiziert.

Fazit

Mozilla ersetzte den Firefox-GPG-Signaturschlüssel, nachdem eine unverschlüsselte Kopie in einem privaten GitHub-Repository aufgetaucht war. Das Unternehmen fand keine Hinweise auf unbefugten Zugriff, widerrief den alten Schlüssel jedoch, um verbleibende Risiken zu reduzieren. Die meisten Nutzer können wie gewohnt fortfahren, während Personen, die Signaturen manuell überprüfen, sowie einige RPM-Nutzer ihre Informationen zu vertrauenswürdigen Schlüsseln aktualisieren sollten.