ทันเอไอ

Mozilla 更新并吊销 Firefox 与 Thunderbird 的 GPG 密钥，此前不慎泄露至 GitHub

Mozilla 紧急宣布更换用于 Firefox 和 Thunderbird 软件数字签名的 GPG 密钥（加密密钥），此前发现这些密钥被无意中存放在 GitHub 上。

Mozilla 发布公告，更新并吊销（Revoke）了用于签署 Firefox 和 Thunderbird 软件安装程序的 GPG 子密钥，特别是 Linux tarballs、RPM 软件包以及 checksum（校验和文件）相关的密钥。此前，这些密钥在某个私有 GitHub repository（代码库）中被无意泄露。

根据 Mozilla 的初步事实调查，目前尚无证据表明该密钥遭到未经授权的外部人员访问。此外，能够访问该代码库的人员均为内部开发人员，他们本来就可以通过正常渠道获取该密钥，因此被滥用的风险处于有限水平。

对于普通用户而言，绝大多数不会受到影响，也无需采取任何行动。不过，对于需要自行验证 GPG 签名的高级用户，以及通过 RPM 软件包安装 Firefox 的用户，可能需要按照 Mozilla 的官方指导手动更新新密钥，以确保最高安全性。