Wie wir einen Signaturschlüssel für Add-ons widerrufen

Jedes Add-on von Sekervia ist signiert (Ed25519). Die Anwendung lehnt jedes Add-on ab, dessen Signatur zu keinem ihr bekannten Schlüssel passt. Doch Signieren allein genügt nicht: Entscheidend ist, was an dem Tag geschieht, an dem ein Schlüssel verloren geht oder kompromittiert wird, und wie schnell.

Unsere Verpflichtung

Innerhalb von 24 Stunden nach Feststellung eines Problems wird der betroffene Schlüssel aus Sekervia entfernt.

Innerhalb von 72 Stunden wird eine korrigierte und signierte Version über die automatische Aktualisierung ausgeliefert.

Ein zurückgezogener Schlüssel wird dauerhaft abgelehnt, auch wenn eine alte Kopie der Anwendung oder ein Paket ihn noch vorlegt: Sekervia führt eine Liste der zurückgezogenen Schlüssel und prüft sie vor jeder anderen Überprüfung.

Was wir tun, Schritt für Schritt

1. Feststellen — eine automatische Kontrolle prüft bei jeder Version, dass jedes ausgelieferte Add-on mit einem gültigen Schlüssel signiert ist. Eine fehlerhafte Rotation lässt sie fehlschlagen.

2. Einen neuen Schlüssel erzeugen — sein privater Teil wird sofort sicher verwahrt, noch vor jeder Signatur.

3. Ersetzen, nicht hinzufügen — der alte Schlüssel wird aus der Anwendung entfernt und in die Liste der zurückgezogenen Schlüssel aufgenommen.

4. Neu signieren — jedes offizielle Add-on mit dem neuen Schlüssel.

5. Nachweisen — die Tests prüfen, dass kein Add-on einen zurückgezogenen Schlüssel trägt und dass ein zurückgezogener Schlüssel nie wieder in Betrieb genommen wird.

6. Verteilen — die korrigierte Version über die signierte Aktualisierung.

7. Informieren — die Versionshinweise nennen den zurückgezogenen Schlüssel, das Datum und den Grund. Ein Add-on, das noch damit signiert ist, wird nicht mehr geladen: Das ist so gewollt.

Was uns bereits passiert ist

Am 22. September 2026 stellten wir beim Versuch, ein Add-on neu zu signieren, fest, dass der private Teil eines unserer Schlüssel, erzeugt am 4. September, verloren gegangen war: Er war nie sicher verwahrt worden. Innerhalb weniger Minuten wurde ein neuer Schlüssel in Betrieb genommen, die Add-ons wurden neu signiert und der alte Schlüssel zurückgezogen. Kein Add-on wurde von einem Dritten signiert.

Der Verlust wurde jedoch erst 18 Tage nach dem Vorfall bemerkt, weil nichts überprüfte, ob der Schlüssel noch existierte. Deshalb schreibt Schritt 2 nun vor, den Schlüssel vor jeder Signatur sicher zu verwahren.