Mozilla Ganti GPG Signing Key Firefox Setelah Tidak Sengaja Terungkap

Mozilla memperbarui GPG signing key yang digunakan untuk menandatangani sejumlah rilis Firefox dan Thunderbird setelah salinan kunci tersebut tidak sengaja terekspos di GitHub.

Mozilla mengatakan risiko supply chain attack akibat insiden ini tergolong rendah. Salah satu alasannya adalah repository GitHub tempat kunci tersebut ditemukan merupakan repository private yang hanya dapat diakses oleh sejumlah kecil orang di dalam Mozilla.

Hasil pemeriksaan terhadap audit record yang tersedia juga tidak menemukan bukti bahwa kunci tersebut telah diakses oleh pihak yang tidak berwenang selama berada di repository.

Meski demikian, Mozilla tetap mencabut kunci lama dan menggantinya dengan signing subkey baru sebagai langkah pencegahan.

GPG Key Terekspos di Repository GitHub Private

Insiden terjadi ketika salinan tidak terenkripsi dari signing subkey lama secara tidak sengaja dimasukkan ke sebuah repository GitHub private milik Mozilla.

Kunci tersebut digunakan untuk memverifikasi sejumlah artifact Firefox dan Thunderbird, khususnya Linux tarballs, RPM packages, serta checksum files.

Jika kunci yang terekspos berhasil diperoleh pihak tidak berwenang, secara teori penyerang dapat menggunakannya untuk membuat installer atau file distribusi berbahaya yang tampak valid karena ditandatangani dengan GPG key yang dipercaya.

Kondisi semacam ini dapat menimbulkan risiko supply chain attack, terutama jika pengguna atau sistem otomatis memverifikasi keaslian software hanya berdasarkan digital signature dari kunci yang telah dipercaya sebelumnya.

Namun, Mozilla menyatakan kemungkinan skenario tersebut terjadi dalam insiden ini relatif rendah.

Tidak Ditemukan Bukti Kunci Diakses Penyerang

Mozilla melakukan pemeriksaan terhadap audit records untuk mengetahui apakah ada pihak yang tidak berwenang mengakses signing key selama kunci tersebut tersimpan di repository.

Hasil pemeriksaan tidak menunjukkan adanya akses mencurigakan terhadap kunci tersebut.

Akses ke repository juga dibatasi hanya kepada kelompok kecil di internal Mozilla. Seluruh pihak yang memiliki akses ke repository tersebut sebelumnya memang telah memiliki akses resmi terhadap signing key melalui mekanisme lain.

Dengan kondisi tersebut, Mozilla tidak menemukan indikasi bahwa kunci tersebut telah jatuh ke tangan pihak eksternal.

Meski tidak ditemukan bukti penyalahgunaan, Mozilla tetap menganggap rotasi kunci sebagai langkah yang diperlukan untuk menghilangkan potensi risiko di masa mendatang.

Mozilla Mencabut Signing Key Lama

Setelah menemukan masalah tersebut, Mozilla mencabut signing key yang sebelumnya digunakan untuk menandatangani Linux tarballs, RPM packages, dan checksum files.

Organisasi tersebut kemudian memindahkan proses signing ke GPG signing subkey baru.

Langkah ini membuat signature yang dihasilkan untuk artifact terbaru menggunakan kunci baru dan memastikan kunci lama tidak lagi menjadi bagian dari rantai kepercayaan untuk proses signing berikutnya.

Mozilla juga mengambil sejumlah langkah tambahan untuk mencegah kejadian serupa terulang, termasuk memperketat pengelolaan material kriptografi yang digunakan dalam proses release.

Sebagian Besar Pengguna Tidak Perlu Melakukan Apa Pun

Bagi mayoritas pengguna Firefox dan Thunderbird, rotasi GPG key tersebut tidak memerlukan tindakan manual.

Perubahan telah dilakukan pada sisi release infrastructure Mozilla sehingga pengguna yang hanya memasang atau memperbarui software melalui mekanisme distribusi normal dapat terus menerima update seperti biasa.

Namun, pengguna yang secara manual melakukan verifikasi GPG signature perlu memperbarui konfigurasi mereka.

Pengguna dalam kategori tersebut harus mengimpor signing key baru sekaligus revocation certificate untuk kunci lama agar proses verifikasi tetap berjalan dengan benar.

Pengguna Firefox di Linux Perlu Memeriksa RPM

Mozilla memberikan perhatian khusus kepada pengguna Linux yang memasang Firefox melalui RPM packages.

Pada sistem tertentu, pengguna mungkin perlu melakukan pembaruan secara manual agar repository dan sistem package management mengenali signing key yang baru.

Instruksi yang disediakan Mozilla mencakup sejumlah distribusi Linux, termasuk Fedora 43 dan versi yang lebih baru, Fedora 42 dan versi sebelumnya, RHEL, Rocky Linux, AlmaLinux, serta distribusi berbasis openSUSE dan SUSE.

Perubahan tersebut diperlukan agar pengguna tetap dapat menerima dan memverifikasi update Firefox terbaru setelah signing key lama dicabut.

Sementara itu, pengguna Thunderbird tidak perlu melakukan tindakan khusus terkait RPM karena Thunderbird tidak menyediakan official RPM packages.

Signing Key Baru Berlaku hingga 2028

Signing subkey baru yang digunakan Mozilla memiliki masa berlaku hingga 5 Agustus 2028.

Public key terbaru beserta revocation information untuk kunci sebelumnya telah disediakan melalui KEY files terbaru dari Firefox Nightly dan layanan distribusi OpenPGP.

Pengguna yang mengandalkan verifikasi GPG secara manual disarankan memastikan bahwa keyring mereka telah diperbarui dan kunci lama telah ditandai sebagai revoked.

Pentingnya Keamanan Signing Key dalam Distribusi Software

Insiden Mozilla menunjukkan bahwa keamanan software supply chain tidak hanya bergantung pada source code dan build system, tetapi juga pada perlindungan cryptographic signing key yang digunakan untuk mendistribusikan hasil build.

Signing key memiliki posisi penting dalam rantai kepercayaan karena digunakan untuk membuktikan bahwa sebuah artifact berasal dari pihak yang sah dan belum dimodifikasi.

Kompromi terhadap private signing key dapat memberikan dampak serius. Penyerang yang berhasil menguasai kunci tersebut berpotensi mendistribusikan file berbahaya yang tetap terlihat valid ketika diperiksa menggunakan mekanisme signature verification.

Dalam kasus Mozilla, tidak ditemukan bukti bahwa kunci telah diakses oleh pihak tidak berwenang. Namun, keputusan untuk segera melakukan key rotation menunjukkan pentingnya tindakan preventif ketika material kriptografi sensitif secara tidak sengaja terekspos.

Bagi pengguna yang melakukan verifikasi GPG secara manual, pembaruan keyring menjadi langkah penting untuk memastikan proses autentikasi rilis Firefox dan Thunderbird tetap menggunakan rantai kepercayaan yang benar.

Sumber: Mozilla