Bei Mozilla ist ein Signaturschlüssel für bestimmte Firefox- und Thunderbird-Releases im Klartext auf GitHub gelandet. Die Organisation hat den Schlüssel daraufhin vorsorglich ausgetauscht. Für die meisten Nutzer ändert sich nichts, einige Linux-Anwender müssen aber selbst aktiv werden.
Was passiert ist
Offenbar hat jemand bei Mozilla versehentlich den GPG-Key zum Signieren einiger Firefox- und Thunderbird-Releases unverschlüsselt hochgeladen. Konkret geht es um einen Subschlüssel, mit dem die Organisation Linux-Tarballs, RPM-Pakete und Prüfsummen-Dateien der beiden Programme signiert hat. Der Upload erfolgte laut Mozilla nur in ein privates Repository, dessen Zugriff auf eine kleine Gruppe innerhalb des Unternehmens beschränkt war. Deren Mitglieder waren ohnehin auf anderem Weg berechtigt, auf den Signaturschlüssel zuzugreifen.
Nach eigenen Angaben hat Mozilla alle relevanten Protokolle durchsucht und keine Hinweise darauf gefunden, dass ein unbefugter Akteur an den Schlüssel gelangt ist. Das Risiko, dass jemand den Schlüssel missbraucht, um etwa manipulierte Firefox- oder Thunderbird-Versionen zu signieren und Nutzern Schadsoftware unterzuschieben, ist damit eher gering.
Wer jetzt handeln muss
Trotzdem hat Mozilla den GPG-Key sicherheitshalber widerrufen und einen neuen erstellt. Zusätzlich will die Organisation weitere Schutzmaßnahmen ergriffen haben, um ähnliche Vorfälle künftig zu verhindern, ohne diese näher zu erläutern. Für die meisten Nutzer besteht kein Handlungsbedarf. Nur wer GPG-Signaturen manuell prüft oder die RPM-Pakete für Firefox verwendet, muss gegebenenfalls auf den neuen Schlüssel umsteigen.
Konkrete Anleitungen zum Schlüsseltausch liefert Mozilla in seinem Blogbeitrag, unter anderem für Red Hat Enterprise Linux, Rocky, AlmaLinux, SUSE und Fedora bis einschließlich Version 42. Ab Fedora 43 ist kaum etwas zu tun, da die neueren Versionen den Schlüssel automatisch aktualisieren und du ihn nur noch bestätigen musst.