Firefox und Thunderbird: Datenpanne zwingt Mozilla zum Schlüsseltausch
Jemand bei Mozilla hat offenbar versehentlich den GPG-Key zum Signieren einiger Firefox- und Thunderbird-Releases in unverschlüsselter Form auf Github hochgeladen. Wie Mozilla in einem Blogbeitrag(öffnet im neuen Fenster) schildert, geht es konkret um einen Subschlüssel, mit dem die Organisation Linux-Tarballs, RPM-Pakete und Prüfsummen-Dateien der beiden Softwareprodukte signiert hat.
Der Upload erfolgte den Angaben zufolge nur in einem "privaten Repository". Der Zugriff darauf soll auf "eine kleine Gruppe innerhalb von Mozilla" beschränkt gewesen sein, deren Mitglieder ohnehin auch auf anderem Wege autorisiert waren, auf den Signaturschlüssel zuzugreifen.
Mozilla durchsuchte nach eigenen Angaben alle relevanten Protokolle und fand dabei keine Hinweise darauf, dass ein unbefugter Akteur an den Schlüssel gelangt ist. Das Risiko, dass ein Angreifer den Signaturschlüssel ausnutzt, um etwa manipulierte Versionen von Firefox oder Thunderbird zu signieren und Anwendern damit Malware unterzuschieben, ist also eher gering.
Einige Linux-Nutzer müssen handeln
Dennoch entschied sich Mozilla, den GPG-Key sicherheitshalber zu widerrufen und einen neuen zu erstellen. Zudem will die Organisation zusätzliche Sicherheitsmaßnahmen ergriffen haben, die ähnliche Vorfälle in Zukunft unterbinden sollen. Wie diese Maßnahmen im Detail aussehen, erklärte Mozilla aber nicht.
Für die meisten Nutzer besteht den Angaben zufolge kein Handlungsbedarf. Nur wer GPG-Signaturen manuell prüft oder die RPM-Pakete für Firefox verwendet, muss gegebenenfalls aktiv werden und auf den neuen Schlüssel umsteigen. Der neue Public-Key sowie Details für RPM-Nutzer sind in Mozillas Blogbeitrag(öffnet im neuen Fenster) zu finden.
Der Beitrag enthält konkrete Anleitungen zum Schlüsseltausch für Nutzer von Red Hat Enterprise Linux (RHEL), Rocky, Almalinux, Suse und Fedora bis einschließlich Version 42. Ab Fedora 43 besteht kaum Handlungsbedarf, da die neueren Versionen den Schlüssel wohl automatisch aktualisieren. Anwender müssen ihn dann nur noch bestätigen.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.