ทันเอไอ

Mozilla, GitHub 유출 여파로 Firefox 및 Thunderbird GPG 키 업데이트 및 폐기

Mozilla가 Firefox 및 Thunderbird 소프트웨어의 디지털 서명에 사용되는 GPG(암호화 키)가 실수로 GitHub에 업로드된 것을 발견한 후 긴급 교체 및 폐기를 발표했습니다.

Mozilla는 Linux tarball, RPM 패키지, 체크섬 파일 등 Firefox 및 Thunderbird 소프트웨어 설치 파일 서명에 사용되는 GPG 서브키가 개인 GitHub 리포지토리에 실수로 노출된 후 해당 키를 업데이트하고 폐기(Revoke)한다고 밝혔습니다.

Mozilla의 자체 조사 결과, 외부의 unauthorized(무단) 사용자가 해당 키에 접근한 증거는 아직 발견되지 않았습니다. 또한 해당 리포지토리 접근 권한은 내부 개발자 그룹으로 제한되어 있으며, 이들은 평소에도 정상적인 경로를 통해 이 키에 접근할 수 있었기 때문에 악용될 위험은 제한적인 수준입니다.

일반 사용자들은 대부분 영향을 받지 않으며 별도의 조치를 취할 필요가 없습니다. 다만, GPG 서명을 직접 검증해야 하는 고급 사용자나 RPM 패키지를 통해 Firefox를 설치한 사용자는 최고 보안을 위해 Mozilla의 공식 안내에 따라 새 키를 수동으로 업데이트해야 할 수 있습니다.