Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Mozilla ha revocato la chiave GPG utilizzata per firmare alcune release Linux di Firefox e Thunderbird dopo che una copia non cifrata è stata pubblicata accidentalmente in un repository GitHub privato. Pur non avendo rilevato accessi non autorizzati, l'azienda ha sostituito la chiave per prevenire qualsiasi rischio di attacco alla supply chain e ha diffuso istruzioni per gli utenti RPM.
Gli sviluppatori di Mozilla sono stati costretti a cambiare la chiave GPG utilizzata per firmare alcune versioni di Firefox e Thunderbird per Linux.
Una copia non crittografata della chiave era stata accidentalmente pubblicata su un repository privato di GitHub. Sebbene non vi fossero prove che la chiave fosse finita in mani non autorizzate, gli sviluppatori hanno deciso di revocarla per precauzione.
L’organizzazione riferisce che l’incidente ha interessato una sottochiave utilizzata per firmare archivi tar di Linux, pacchetti RPM e file di checksum di Firefox e Thunderbird. L’accesso al repository privato in cui la chiave è stata accidentalmente divulgata era limitato a un piccolo gruppo di dipendenti che avevano già accesso legittimo alla chiave.
Un’analisi dei log disponibili non ha rivelato alcun accesso non autorizzato alla chiave GPG, pertanto Mozilla ritiene che il rischio di un attacco alla catena di fornitura (in cui gli aggressori potrebbero distribuire build contraffatte con una firma valida) sia estremamente basso. Ciononostante, la vecchia sottochiave è stata revocata e sostituita con una nuova, valida fino al 5 agosto 2028.
Gli sviluppatori non hanno specificato in quale repository fosse stata inserita la copia della chiave, né da quanto tempo si trovasse lì.
Hacker News ha segnalato un dettaglio interessante nei dati relativi alla revoca della chiave: il codice indicato era “2”, a significare “il materiale della chiave è stato compromesso”. Il certificato di revoca è stato creato il 6 agosto 2026 alle 11:14 UTC ed era accompagnato dal commento: “Non ci fidiamo più di questa chiave”.
I giornalisti spiegano che quando una chiave viene semplicemente sostituita o scade, le vecchie firme rimangono valide. Tuttavia, la revoca dovuta a compromissione, al contrario, invalida tutte le firme create utilizzando quella chiave. Ciò significa che, dopo aver importato un certificato revocato, potrebbero verificarsi problemi di verifica nelle installazioni meno recenti di Firefox e Thunderbird.
La modifica della chiave primaria è avvenuta con circa sette mesi di anticipo rispetto alla data prevista. La precedente sottochiave era stata creata nell’aprile del 2025 e la sua scadenza era prevista per marzo 2027. Secondo i calcoli dei giornalisti, si tratta della prima revoca di una sottochiave da parte di Mozilla almeno dal 2015: le cinque chiavi precedenti erano semplicemente scadute.
La maggior parte degli utenti non dovrà intraprendere alcuna azione, ma coloro che verificano manualmente le firme GPG dovranno importare una nuova chiave e un certificato di revoca per quella vecchia. Gli utenti dei pacchetti RPM ufficiali di Firefox su alcune distribuzioni potrebbero inoltre riscontrare errori di aggiornamento e Mozilla ha pubblicato istruzioni separate per la sostituzione della chiave per Fedora, RHEL, Rocky Linux, AlmaLinux, openSUSE e SUSE.
Si noti che Thunderbird non viene distribuito come pacchetto RPM ufficiale, quindi i suoi utenti non hanno bisogno di modificare la chiave RPM. Nemmeno i pacchetti .deb sono interessati e il repository APT per Debian e Ubuntu utilizza una chiave completamente diversa.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/