Как отменяме ключ за подписване на добавки
Последна актуализация: 4 октомври 2026 г.
Всяка добавка на Sekervia е подписана (Ed25519). Приложението отказва всяка добавка, чийто подпис не съответства на познат му ключ. Но подписването не е достатъчно: важното е какво се случва в деня, в който даден ключ бъде изгубен или компрометиран, и за колко време.
Нашият ангажимент
В рамките на 24 часа след установяване на проблем засегнатият ключ се премахва от Sekervia.
В рамките на 72 часа коригирана и подписана версия се разпространява чрез автоматичното обновяване.
Премахнат ключ се отхвърля окончателно, дори ако стар екземпляр на приложението или пакет все още го съдържа: Sekervia поддържа списък на премахнатите ключове и го проверява преди всяка друга проверка.
Какво правим, стъпка по стъпка
1. Установяване — при всяка версия автоматична проверка удостоверява, че всяка доставена добавка е подписана с действащ ключ. Неправилно извършена смяна на ключовете води до неуспех на проверката.
2. Създаване на нов ключ — частната му част незабавно се поставя на сигурно място, преди какъвто и да е подпис.
3. Замяна, а не добавяне — старият ключ се изважда от приложението и се вписва в списъка на премахнатите ключове.
4. Повторно подписване на всяка официална добавка с новия ключ.
5. Доказване — тестовете проверяват, че никоя добавка не носи премахнат ключ и че премахнат ключ никога не се връща в употреба.
6. Разпространение на коригираната версия чрез подписаното обновяване.
7. Информиране — бележките към версията посочват премахнатия ключ, датата и причината. Добавка, все още подписана с него, вече не се зарежда: това е умишлено.
Какво вече ни се е случило
На 22 септември 2026 г., докато се опитвахме да подпишем повторно една добавка, установихме, че частната част на един от нашите ключове, създаден на 4 септември, е била изгубена: тя никога не е била поставена на сигурно място. В рамките на минути след това беше въведен нов ключ, добавките бяха подписани повторно, а старият ключ — премахнат. Никоя добавка не е била подписана от трета страна.
Загубата обаче беше забелязана едва 18 дни след случилото се, защото нищо не проверяваше дали ключът все още съществува. Затова стъпка 2 вече изисква ключът да бъде поставен на сигурно място преди какъвто и да е подпис.