Gpg

A Mozilla anunciou a atualização da chave GPG utilizada para assinar as versões do Firefox e Thunderbird, após a exposição acidental de uma cópia não criptografada em um repositório privado do GitHub. Apesar do incidente, a organização avaliou que o risco de um ataque à cadeia de suprimentos, onde agentes maliciosos poderiam distribuir instaladores maliciosos assinados com a chave exposta, é baixo, uma vez que o acesso ao repositório era restrito a um pequeno grupo de indivíduos autorizados. Até o momento, não há evidências de que a chave tenha sido acessada por partes não autorizadas. A Mozilla revogou a chave antiga e implementou medidas para evitar recorrências. A nova subchave de assinatura expira em 5 de agosto de 2028 e os usuários que verificam assinaturas GPG manualmente devem importar a nova chave e a revogação da antiga. Para usuários do Linux que instalarem o Firefox via pacotes RPM, é necessário atualizar manualmente os sistemas, com instruções específicas disponíveis para diferentes distribuições. O Thunderbird, por sua vez, não requer ações específicas relacionadas a RPM. A situação destaca a importância de manter práticas de segurança rigorosas em ambientes de desenvolvimento e distribuição de software.