Die Offenlegung eines privaten GPG-Signaturschlüssels für Software-Veröffentlichungen gilt als heikel, weil ein Angreifer mit einem solchen Schlüssel gültige Signaturen für manipulierte Dateien erzeugen könnte. Damit entsteht ein Risiko für Supply-Chain-Angriffe: Veränderte oder bösartige Software könnte als echt erscheinen. Für eine erfolgreiche Ausnutzung wäre laut Quelltext allerdings zusätzlich ein Weg nötig, die signierten Dateien an Nutzer zu verteilen, etwa über einen kompromittierten Mirror, einen alternativen Download-Pfad oder mittels Social Engineering.
Im konkreten Fall verweist Mozilla auf mehrere einschränkende Faktoren. Der offengelegte Schlüssel wurde verwendet, um Firefox- und Thunderbird-Artefakte wie Linux-Tarballs, RPM-Pakete und Prüfsummendateien zu signieren. Die unverschlüsselte Kopie des Schlüssels wurde versehentlich in ein GitHub-Repository übernommen, das jedoch privat war und nur einem kleinen Kreis von Mozilla-Entwicklern offenstand. Diese Entwickler hatten nach Angaben des Unternehmens bereits über andere Wege Zugriff auf den Schlüssel.
Mozilla erklärte: „Unsere Überprüfung der verfügbaren Audit-Aufzeichnungen ergab keine Hinweise darauf, dass während seiner Ablage im Repository eine unbefugte Partei auf den Schlüssel zugegriffen hat.“ Ungeachtet dessen habe sich die Organisation entschieden, den offengelegten Schlüssel zu widerrufen und einen neuen auszugeben. Zusätzlich seien Schutzmechanismen eingeführt worden, um ähnliche Vorfälle künftig zu vermeiden.
Für die meisten Nutzer ist nach Angaben von Mozilla kein Handeln erforderlich. Wer GPG-Signaturen manuell prüft, muss den neuen Schlüssel sowie den Widerruf des alten importieren. Nutzer von Firefox-RPM-Paketen müssen möglicherweise weitere Schritte durchführen; dafür hat Mozilla detaillierte Anweisungen veröffentlicht.
Dass Mozilla hier kein Risiko eingehen will, ist angesichts der Zunahme von Angriffen auf die Software-Lieferkette nachvollziehbar. Der Quelltext verweist darauf, dass Organisationen Signaturschlüssel inzwischen schon bei ersten Anzeichen einer möglichen Offenlegung austauschen.