Mozilla heeft de digitale handtekening van Firefox en Thunderbird vervangen. Aanleiding is een gelekte privérepository op GitHub. Daardoor kan de oude GPG-sleutel in verkeerde handen zijn gevallen. Gebruikers die eerder software downloadden, lopen mogelijk risico op een aangetast bestand.
Volgens tweakers.net ontdekte Mozilla dat een privérepository op GitHub was gelekt. Daardoor is de GPG-sleutel mogelijk op straat komen te liggen. GPG-sleutels worden gebruikt om software te ondertekenen. Zo kunnen gebruikers controleren dat een bestand echt van de ontwikkelaar komt en niet is gemanipuleerd. Als een aanvaller de sleutel heeft, kan hij nep-updates of malware verspreiden die er legitiem uitzien.
Mozilla heeft daarom de oude sleutel ingetrokken en een nieuwe gegenereerd. Het bedrijf raadt gebruikers aan om de nieuwe sleutel te importeren en oude downloads opnieuw te controleren. Dit geldt voor zowel Firefox als Thunderbird, de e-mailclient van Mozilla.
Het lek op GitHub is niet het eerste beveiligingsincident bij Mozilla. Firefox-versie 153.0.4 is beschikbaar voor Windows, macOS, Android en iOS, zo meldt gizmodo.com.
De vervanging van de GPG-sleutel is een belangrijke stap, maar gebruikers moeten zelf ook alert blijven. Download software alleen van de officiële website van Mozilla. Controleer daarnaast de digitale handtekening. Wie ooit een Mozilla-bestand via een andere bron heeft gedownload, doet er goed aan dat bestand te verwijderen en opnieuw te downloaden. Voor Windows-gebruikers is er ook een officiële download via de Microsoft Store.
Mozilla heeft nog niet bekendgemaakt hoe het lek precies is ontstaan en of er daadwerkelijk misbruik is gemaakt van de oude sleutel. Het bedrijf zegt een onderzoek in te stellen en gebruikers op de hoogte te houden via de officiële kanalen.
Voor technisch onderlegde gebruikers is dit een reminder dat zelfs grote organisaties kwetsbaar zijn voor beveiligingsincidenten. Het regelmatig bijwerken van software en het controleren van digitale handtekeningen blijft essentieel om veilig te blijven op het internet.