// COMPUTERBASE — LINUX & OPEN SOURCE
Firefox und Thunderbird: Mozilla veröffentlicht Signierschlüssel versehentlich auf GitHub
Mozilla hat einen für Firefox und Thunderbird verwendeten GPG-Signierschlüssel ausgetauscht. Eine unverschlüsselte Kopie des privaten Subkeys war zuvor versehentlich in ein privates GitHub-Repository eingecheckt worden. Hinweise darauf, dass Unbefugte auf den Schlüssel zugegriffen haben, gibt es laut Mozilla bislang nicht.
Betroffen ist ein GPG-Subkey, mit dem Mozilla bestimmte Veröffentlichungen von Firefox und Thunderbird kryptografisch signiert. Dazu gehören Linux-Tarballs, RPM-Pakete und Dateien mit Prüfsummen. Mithilfe der Signatur lässt sich überprüfen, ob eine heruntergeladene Datei tatsächlich von Mozilla stammt und nach der Signierung unverändert geblieben ist.
Eine unverschlüsselte Kopie des privaten Schlüssels wurde nach Angaben des Unternehmens versehentlich in ein privates GitHub-Repository übertragen. Öffentlich zugänglich war der Schlüssel damit nicht. Der Zugriff auf das Repository war Mozilla zufolge auf eine kleine Gruppe innerhalb des Unternehmens beschränkt, sämtliche Personen aus dieser Gruppe hätten ohnehin bereits auf anderem Wege berechtigten Zugriff auf den Schlüssel gehabt.
Mozilla hat zusätzlich die verfügbaren Audit-Protokolle ausgewertet. Dabei seien keine Hinweise darauf gefunden worden, dass eine unberechtigte Person während des fraglichen Zeitraums auf den Schlüssel zugegriffen habe. Dennoch wurde der bisherige Subkey widerrufen und durch einen neuen ersetzt. Außerdem habe Mozilla zusätzliche Schutzmaßnahmen eingeführt, um vergleichbare Fehler künftig zu verhindern.
Für die überwiegende Mehrheit der Firefox- und Thunderbird-Nutzer besteht kein Handlungsbedarf. Relevant wird der Wechsel vor allem für Anwender, die GPG-Signaturen heruntergeladener Dateien selbst überprüfen, sowie für Nutzer der von Mozilla angebotenen Firefox-RPM-Pakete. Erstere müssen den neuen Schlüssel und die Widerrufsinformation für den bisherigen Schlüssel importieren.
Bei Fedora 43 und neuer soll DNF den aktualisierten Schlüssel beim nächsten Update automatisch herunterladen und lediglich eine Bestätigung für den Import verlangen. Bei Fedora 42 und älter sowie bei RHEL, Rocky Linux und AlmaLinux kann dagegen ein manueller Eingriff erforderlich werden, da DNF dort den bisherigen Schlüssel nicht selbstständig ersetzt. Gleiches gilt laut Mozilla für openSUSE und SUSE. Ohne Austausch kann die Signaturprüfung fehlschlagen und damit auch das Firefox-Update scheitern.
Thunderbird stellt selbst keine offiziellen RPM-Pakete bereit, weshalb dieser Sonderfall dort entfällt. Der neue Signing-Subkey läuft am 5. August 2028 ab. Bereits mit dem alten Schlüssel signierte Veröffentlichungen lassen sich nach dem Import des Widerrufs zudem nicht mehr mit diesem verifizieren.