Mozilla revoca la chiave di firma di Firefox e Thunderbird dopo l'esposizione

Mozilla ha annunciato di aver revocato la chiave di firma GPG utilizzata per le versioni di Firefox e Thunderbird per Linux. Questa decisione è stata presa dopo che una copia non crittografata del sottocchiave privata è stata involontariamente inserita in uno dei repository di codice privati dell'azienda su GitHub.

La chiave è essenziale per verificare che le versioni scaricate di Firefox e Thunderbird non siano state manomesse e provengano autenticamente da Mozilla. L'esposizione di questa chiave pone rischi potenziali per gli utenti e per le distribuzioni Linux che confezionano il browser.

Secondo le segnalazioni, i registri di audit indicano che non ci sono stati incidenti di accesso non autorizzato relativi all'esposizione. Tuttavia, Mozilla ha sottolineato che il processo di verifica delle versioni richiede un aggiornamento a causa di questo problema di sicurezza.

Alla luce dell'incidente, alcuni utenti Linux potrebbero dover intraprendere azioni per garantire l'integrità delle loro installazioni. L'aggiornamento della chiave di firma mira a mantenere la fiducia nella distribuzione di questi prodotti software.

Mozilla ha dichiarato che attualmente non ci sono segni che alcun individuo non autorizzato abbia avuto accesso alla chiave esposta, secondo le segnalazioni di diverse fonti, tra cui The Register e BleepingComputer.

Questo incidente illustra l'importanza di mantenere pratiche di sviluppo software sicure, specialmente nella gestione di chiavi crittografiche che svolgono un ruolo critico nell'integrità del software.