Mozilla tauscht GPG-Schlüssel nach Panne auf GitHub aus
Ein unverschlüsselter privater GPG-Subkey von Mozilla landete versehentlich auf GitHub. Der Schlüssel wurde ausgetauscht, für manche Linux-Nutzer ist manuelles Eingreifen nötig.
Dieser Artikel wurde mit KI-Unterstützung aus mehreren Quellen entworfen und vor der Veröffentlichung von einer Redakteurin/einem Redakteur geprüft und freigegeben.
Mozilla hat den GPG-Signaturschlüssel für bestimmte Firefox- und Thunderbird-Versionen ausgetauscht. Auslöser war ein Sicherheitsvorfall: Ein unverschlüsselter privater Subkey wurde fälschlicherweise in einem privaten GitHub-Repository abgelegt, wie das Unternehmen mitteilte. Der Schlüssel signiert Linux-Tarballs, RPM-Pakete und Prüfsummendateien – also Dateien, bei denen Nutzer die Authentizität und Unversehrtheit überprüfen können.
Nach Angaben von Mozilla war der Schlüssel nie öffentlich zugänglich. Der Zugriff auf das Repository beschränkte sich auf eine kleine Gruppe innerhalb des Unternehmens, die ohnehin autorisierten Zugriff auf den Schlüssel hatte. Eine Auswertung der Audit-Logs ergab keine Hinweise auf unbefugten Zugriff während des relevanten Zeitraums. Dennoch zog Mozilla die Konsequenzen: Der alte Subkey wurde widerrufen und durch einen neuen ersetzt. Zusätzlich führte das Unternehmen weitere Schutzmaßnahmen ein, um ähnliche Vorfälle in Zukunft zu verhindern.
Für die meisten Nutzer von Firefox und Thunderbird ändert sich nichts. Handlungsbedarf besteht nur für Anwender, die GPG-Signaturen selbst verifizieren, sowie für Nutzer der offiziellen Firefox-RPM-Pakete. Sie müssen den neuen Schlüssel importieren und die Widerrufsinformationen für den alten Schlüssel übernehmen. Wer den Widerruf importiert, kann damit ältere, mit dem alten Schlüssel signierte Releases nicht mehr verifizieren.
Auf einigen Distributionen läuft der Wechsel automatisch ab. Bei Fedora 43 und neuer lädt DNF den aktualisierten Schlüssel beim nächsten Update automatisch herunter und fragt nur nach einer Bestätigung für den Import. Anders sieht es bei Fedora 42 und älter sowie bei RHEL, Rocky Linux und AlmaLinux aus: Dort kann ein manueller Eingriff erforderlich sein, weil DNF den alten Schlüssel nicht automatisch ersetzt. Laut Mozilla gilt dies auch für openSUSE und SUSE. Ohne den Schlüsseltausch kann die Signaturprüfung fehlschlagen und ein Firefox-Update scheitern.
Thunderbird ist von diesem Sonderfall nicht betroffen, da es keine offiziellen RPM-Pakete für den Mail-Client gibt. Der neue Signatursubkey ist bis zum 5. August 2028 gültig. Mozilla hat den Vorfall auf GitHub dokumentiert und in einem Blogbeitrag erläutert.