Mozillaは、以前の鍵の暗号化されていないコピーが誤ってプライベートなGitHubリポジトリにコミットされていたことを受け、一部のFirefoxおよびThunderbirdリリース成果物に使用していたGPG署名サブ鍵をローテーション・失効させました。
8月10日付のアドバイザリでBen Hearsum氏は、Mozillaが利用可能な監査記録を確認した結果、この鍵がリポジトリに保管されていた間に第三者が不正にアクセスした証拠は見つからなかったと述べています。
アクセス権限は、他の経路を通じて既にこの署名鍵への正規のアクセス権を持っていたMozilla社員の少人数グループに限定されていました。悪用の証拠はないものの、Mozillaは予防措置として以前の鍵を失効させ、同様の事態の再発を防ぐための対策を導入しました。
同社は、FirefoxおよびThunderbirdのリリースに関連するLinux tarball、RPMパッケージ、チェックサムファイルについて、新しい署名サブ鍵への移行を完了しています。
今回の一件は、根強いサプライチェーンリスクを改めて浮き彫りにしています。署名インフラは高価値な標的です。リリース署名鍵が侵害されれば、攻撃者はユーザー、パッケージマネージャー、自動デプロイシステムから見て正規に見える成果物を作成できてしまうためです。
プライベートリポジトリはリスクを軽減しますが、誤ってコミットされた機密情報がもたらすリスクを完全になくすものではありません。特にリポジトリへのアクセス権限、監査範囲、バックアップ、クローン、ログ保持といった要素が絡む場合はなおさらです。
大多数のFirefoxおよびThunderbirdユーザーについては、対応は不要だとMozillaは述べています。通常のブラウザアップデートに支障が生じることは想定されていません。運用上の影響を受けるのは、主にGPG署名を手動で検証しているユーザーと、MozillaのリポジトリからFirefoxのRPMパッケージを利用しているLinuxユーザーに限られます。
リリース署名を独自に検証しているユーザーは、Mozillaの新しい公開署名鍵と、以前の鍵に対する失効証明書をインポートする必要があります。Mozillaは、この失効情報をインポートした後は、旧鍵で署名されたリリースが検証できなくなると注意を促しています。
これはOpenPGPの仕組みにおいて想定どおりの挙動です。失効とは、たとえ過去の成果物が事件以前に正規に署名されたものであっても、今後の検証においてその鍵をもはや信頼すべきではないことを示す合図だからです。
新しいMozillaリリース署名用プライマリ鍵のフィンガープリントは以下のとおりです。
Mozillaによると、新しい署名サブ鍵の有効期限は2028年8月5日です。Fedora 43以降のシステムでは次回のアップデート時に更新された鍵が自動的に取得されますが、ユーザーはインポートを承認する前に、表示されるフィンガープリントが新しいサブ鍵のものと一致していることを確認する必要があります。
より古いRPMベースのLinuxディストリビューションでは、パッケージ管理ツールが既存の鍵を自動的に置き換えることができないため、手動での対応が必要です。これにはFedora 42以前のリリースに加え、RHEL、Rocky Linux、AlmaLinux、openSUSE、SUSEベースのシステムが含まれます。
影響を受けるユーザーは、「Import of the key didn’t help, wrong key?」「The GPG keys listed for the mozilla repository are already installed but they are not correct for this package」「Signature verification failed」「NOKEY」といったエラーに遭遇する可能性があります。
Mozillaは、ユーザーに対してまず古いRPM鍵を削除し、その後に更新された署名鍵をインポートするよう指示しています。
その後、Fedora、RHEL、Rocky Linux、AlmaLinuxのユーザーはsudo dnf clean allを実行し、openSUSEおよびSUSEのユーザーはsudo zypper refreshを実行してください。
Mozillaは、古い鍵を削除する前に新しい鍵をインポートすると、一見成功したように見えても実際には古い鍵がインストールされたままになる場合があると強調しています。
Detect, investigate, and respond faster with in-browser data inspection from ANY.RUN. Gain complete phishing visibility to strengthen your SOC and reduce MTTR
翻訳元: https://cyberpress.org/mozilla-revokes-firefox-thunderbird-gpg-signing-key/