Mozilla、GPG鍵の流出を受けて新しいFirefox署名鍵を発行

Mozillaは月曜日、FirefoxおよびThunderbirdの一部アーティファクトに使用しているGPG署名用サブキーについて、以前の鍵がGitHubリポジトリで誤って流出したことを受け、新しい鍵を発行したと発表しました。

一般に、ソフトウェアのリリースに使用されるGPGの秘密署名鍵が流出すると、これを入手した攻撃者は悪意あるファイルに対して有効な署名を作成できてしまいます。

これはサプライチェーン攻撃のリスクにつながります。攻撃者は、正規のものに見える改変済みまたは悪意あるバージョンのソフトウェアを配布できる可能性があるためです。ただし実際に悪用が成功するには、侵害されたミラーサイトや別の配布経路、あるいはソーシャルエンジニアリングなど、署名済みファイルをユーザーに届ける何らかの手段が別途必要になります。

もっとも、今回のMozillaのケースでは、いくつかの要因により潜在的な影響は限定的とされています。

流出したGPG鍵は、Linux向けtarball、RPMパッケージ、チェックサムファイルなど、FirefoxおよびThunderbirdのアーティファクトの署名に使用されていたものです。暗号化されていない鍵のコピーが誤ってGitHubリポジトリにコミットされましたが、このリポジトリは非公開で、もともと別の手段でこの鍵にアクセスできる立場にあったMozillaの少人数の開発者グループのみがアクセス可能な状態でした。

「利用可能な監査記録を確認したところ、当該鍵がリポジトリに存在していた間に権限のない第三者からアクセスされた形跡は見つかりませんでした」とMozillaは述べています。

とはいえ、Mozillaは念のため流出した鍵を失効させ、新しい鍵を発行することを決定しました。加えて、同様の事案の再発を防ぐための対策も追加しています。

Mozillaによれば、ほとんどのユーザーは特に対応の必要はないとのことです。GPG署名を手動で検証しているユーザーは、新しい鍵をインポートし、古い鍵については失効情報を取り込む必要があります。また、Firefox RPMパッケージを利用しているユーザーは、いくつかの対応が必要になる場合があり、Mozillaはこうしたユーザー向けに詳細な手順を公開しています。

Mozillaがリスクを一切残さない対応を選んだのは驚くことではありません。ここ1年でサプライチェーン攻撃が急増していることは既によく知られており、各組織は流出の兆候が少しでも見られた時点で署名鍵をローテーションする動きを強めています。