Mozilla отзывает GPG-ключ, которым подписываются релизы Firefox и Thunderbird для Linux, из-за случайной утечки его незашифрованной копии в приватный репозиторий на GitHub.

Признаков того, что ключ попал к посторонним, не обнаружено, но компания решила перестраховаться и отозвать его. Разработчики уже выпустили новый ключ, который будет использоваться для подписи будущих сборок.

Инцидент затронул только Linux-версии браузеров, так как для других платформ используются иные механизмы проверки целостности. Пользователям, которые проверяют подписи вручную, придётся обновить доверенные ключи в своих системах.

Mozilla подчёркивает, что утечка произошла по ошибке и не связана с взломом их инфраструктуры. Тем не менее, процедура отзыва выполнена в соответствии с протоколом безопасности, чтобы исключить любые теоретические риски.

Новый ключ уже опубликован в официальных каналах Mozilla, и все актуальные релизы будут подписаны им. Пользователям рекомендуется следить за обновлениями и проверять подписи при установке новых версий.