Hvordan vi tilbagekalder en signeringsnøgle til tilføjelser

Hver tilføjelse til Sekervia er signeret (Ed25519). Programmet afviser enhver tilføjelse, hvis signatur ikke svarer til en nøgle, det kender. Men det er ikke nok at signere: det, der tæller, er hvad der sker den dag, en nøgle mistes eller kompromitteres, og hvor hurtigt.

Vores forpligtelse

Inden for 24 timer efter at et problem er konstateret, fjernes den pågældende nøgle fra Sekervia.

Inden for 72 timer sendes en rettet og signeret version ud via den automatiske opdatering.

En fjernet nøgle afvises permanent, selv hvis en gammel kopi af programmet eller en pakke stadig fremviser den: Sekervia fører en liste over fjernede nøgler og tjekker den før enhver anden kontrol.

Hvad vi gør, trin for trin

1. Konstatere — en automatisk kontrol verificerer ved hver version, at hver leveret tilføjelse er signeret med en gyldig nøgle. En forkert udført rotation får den til at fejle.

2. Oprette en ny nøgle — dens private del opbevares sikkert med det samme, før enhver signering.

3. Erstatte, ikke tilføje — den gamle nøgle fjernes fra programmet og føjes til listen over fjernede nøgler.

4. Gensignere hver officiel tilføjelse med den nye nøgle.

5. Bevise — testene verificerer, at ingen tilføjelse bærer en fjernet nøgle, og at en fjernet nøgle aldrig tages i brug igen.

6. Distribuere den rettede version via den signerede opdatering.

7. Informere — versionsnoterne nævner den fjernede nøgle, datoen og årsagen. En tilføjelse, der stadig er signeret med den, indlæses ikke længere: det er tilsigtet.

Det, der allerede er sket for os

Den 22. september 2026, da vi ville gensignere en tilføjelse, konstaterede vi, at den private del af en af vores nøgler, oprettet den 4. september, var gået tabt: den var aldrig blevet opbevaret sikkert. En ny nøgle blev taget i brug, tilføjelserne blev gensigneret, og den gamle nøgle blev fjernet i minutterne derefter. Ingen tilføjelse er blevet signeret af en tredjepart.

Men tabet blev først opdaget 18 dage efter hændelsen, fordi intet kontrollerede, at nøglen stadig fandtes. Derfor kræver trin 2 nu, at nøglen opbevares sikkert før enhver signering.