Revoca della chiave GPG di Firefox per Linux

L’11 agosto 2026 Mozilla ha annunciato la revoca urgente di una chiave GPG usata per firmare i pacchetti di Firefox destinati a Linux. La causa? Una copia non cifrata della subkey privata è finita per errore in un repository. Questo episodio ha acceso i riflettori su un tema cruciale per chi usa Linux: la sicurezza della catena di distribuzione del software. Vediamo insieme cosa è successo, quali rischi comporta e come proteggersi.

Cosa è successo alla chiave GPG di Firefox

Mozilla ha scoperto che una subkey GPG, utilizzata per firmare i rilasci Linux di Firefox e Thunderbird, era stata accidentalmente committata in chiaro in un repository privato. Si tratta di un classico errore operativo, ma dalle conseguenze potenzialmente serie.

La chiave primaria di Mozilla non risulta compromessa. Solo la subkey dedicata alla firma dei pacchetti Linux è stata coinvolta. Per precauzione, Mozilla ha deciso di:

• Revocare immediatamente la subkey esposta
• Generare e pubblicare una nuova subkey di firma
• Diffondere istruzioni operative per amministratori e utenti finali

La nuova subkey ha il seguente fingerprint, valido fino al 5 agosto 2028:

827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3

Quali sono i rischi reali per gli utenti Linux

Chi fosse entrato in possesso della subkey privata avrebbe potuto, in teoria, generare firme false per pacchetti malevoli spacciandoli per software Mozilla legittimo. Ecco perché la revoca è stata la scelta più prudente.

L’impatto pratico riguarda principalmente:

• Utenti che scaricano tarball di Firefox/Thunderbird direttamente da Mozilla
• Amministratori che gestiscono repository RPM firmati da Mozilla (Fedora, RHEL, openSUSE)
• Chiunque verifichi manualmente le firme GPG dei pacchetti

Non risultano invece impatti significativi per gli utenti Windows e macOS, né per chi utilizza i repository APT/Deb gestiti direttamente dalle distribuzioni Linux, che spesso adottano chiavi di firma differenti.

Come verificare e aggiornare la chiave GPG corretta

Se usi Firefox su Linux e vuoi essere sicuro di scaricare pacchetti autentici, segui questi passaggi:

1. Scarica la nuova chiave ufficiale solo dal sito Mozilla, mai da fonti terze
2. Controlla che il fingerprint corrisponda a quello pubblicato ufficialmente
3. Importa la chiave con il comando:
   
   gpg --import mozilla-newkey.asc
4. Verifica il fingerprint con:
   
   gpg --show-keys mozilla-newkey.asc
5. Convalida la firma del pacchetto scaricato:
   
   gpg --verify firefox-XX.YY.tar.bz2.asc firefox-XX.YY.tar.bz2

Cosa fare su sistemi RPM-based

Se usi Fedora, RHEL, AlmaLinux, Rocky Linux o openSUSE con il repository RPM ufficiale di Mozilla, potresti dover intervenire manualmente. Alcune versioni di dnf mantengono infatti la vecchia chiave nel keyring anche dopo la revoca.

Ecco i comandi utili:

• Elenca le chiavi RPM installate: rpm -qa gpg-pubkey*
• Rimuovi la vecchia chiave, se necessario: sudo rpm -e gpg-pubkey-<hexid>
• Importa la nuova chiave: sudo rpm --import /path/to/mozilla-newkey.asc

In ambienti automatizzati o server di produzione, è consigliabile pre-importare la chiave verificata piuttosto che affidarsi all’aggiornamento automatico.

Best practice per prevenire incidenti simili

Questo episodio offre spunti importanti per chiunque gestisca infrastrutture software, non solo per Mozilla. Ecco alcune raccomandazioni utili:

• Segregazione dei segreti: mai conservare chiavi private non cifrate in repository di codice, nemmeno privati
• Secret scanning automatico: attivare controlli nei sistemi CI/CD per bloccare commit contenenti dati sensibili
• Uso di HSM o chiavi hardware per le operazioni di firma, riducendo il rischio di esportazione della chiave privata
• Politiche di rotazione periodica delle chiavi, con procedure chiare per revoca e comunicazione trasparente
• Meccanismi di supply-chain security come Sigstore o Rekor, utili per aumentare la tracciabilità delle firme

Adottare questi accorgimenti riduce sensibilmente il rischio di esposizione accidentale di credenziali critiche, un problema che riguarda ormai qualsiasi organizzazione che sviluppa software open source.

Conclusione

La revoca della chiave GPG di Firefox per Linux rappresenta un caso di studio interessante su come gestire correttamente un incidente di sicurezza. Mozilla ha agito rapidamente, revocando la subkey compromessa e comunicando in modo trasparente le contromisure adottate. Per gli utenti Linux, il consiglio è semplice: aggiornare la chiave GPG seguendo solo le fonti ufficiali, verificare sempre il fingerprint prima di importarla e, se si gestiscono sistemi RPM, controllare manualmente che la vecchia chiave sia stata rimossa. Un episodio che ricorda quanto sia importante la sicurezza della catena di distribuzione del software, anche per progetti open source maturi e affidabili come Firefox.