Jak odvoláváme podpisový klíč doplňků

Každý doplněk Sekervia je podepsaný (Ed25519). Aplikace odmítne každý doplněk, jehož podpis neodpovídá klíči, který zná. Samotný podpis ale nestačí: důležité je, co se stane v den, kdy je klíč ztracen nebo kompromitován, a za jak dlouho.

Náš závazek

Do 24 hodin od zjištění problému je dotčený klíč vyřazen z aplikace Sekervia.

Do 72 hodin je opravená a podepsaná verze odeslána prostřednictvím automatické aktualizace.

Vyřazený klíč je trvale odmítán, i když jej stará kopie aplikace nebo balíček stále předkládá: Sekervia vede seznam vyřazených klíčů a kontroluje jej před jakýmkoli jiným ověřením.

Co děláme, krok za krokem

1. Zjistit — automatická kontrola u každé verze ověřuje, že každý dodaný doplněk je podepsán platným klíčem. Špatně provedená rotace způsobí, že kontrola selže.

2. Vytvořit nový klíč — jeho soukromá část je okamžitě zabezpečena, ještě před jakýmkoli podpisem.

3. Nahradit, ne přidat — starý klíč je odstraněn z aplikace a zařazen na seznam vyřazených klíčů.

4. Znovu podepsat každý oficiální doplněk novým klíčem.

5. Prokázat — testy ověřují, že žádný doplněk nenese vyřazený klíč a že vyřazený klíč není nikdy znovu uveden do provozu.

6. Distribuovat opravenou verzi prostřednictvím podepsané aktualizace.

7. Informovat — poznámky k vydání uvádějí vyřazený klíč, datum a důvod. Doplněk, který je jím stále podepsán, se již nenačte: je to záměr.

Co se nám už stalo

Dne 22. září 2026 jsme při pokusu znovu podepsat doplněk zjistili, že soukromá část jednoho z našich klíčů, vytvořeného 4. září, byla ztracena: nikdy nebyla zabezpečena. Během následujících minut byl uveden do provozu nový klíč, doplňky byly znovu podepsány a starý klíč byl vyřazen. Žádný doplněk nebyl podepsán třetí stranou.

Ztráta však byla odhalena až 18 dní po události, protože nic neověřovalo, že klíč stále existuje. Proto krok 2 nyní vyžaduje zabezpečit klíč před jakýmkoli podpisem.