Cómo revocamos una clave de firma de complementos

Cada complemento de Sekervia está firmado (Ed25519). La aplicación rechaza cualquier complemento cuya firma no corresponda a una clave que conozca. Pero firmar no basta: lo que importa es lo que ocurre el día en que se pierde o se compromete una clave, y en cuánto tiempo.

Nuestro compromiso

En menos de 24 horas desde que se detecta un problema, la clave afectada se retira de Sekervia.

En menos de 72 horas, se distribuye una versión corregida y firmada mediante la actualización automática.

Una clave retirada se rechaza definitivamente, aunque una copia antigua de la aplicación o un paquete aún la presente: Sekervia mantiene una lista de claves retiradas y la consulta antes de cualquier otra verificación.

Lo que hacemos, paso a paso

1. Detectar — un control automático verifica, en cada versión, que cada complemento distribuido está firmado con una clave vigente. Una rotación mal hecha lo hace fallar.

2. Crear una nueva clave — su parte privada se pone a resguardo de inmediato, antes de cualquier firma.

3. Sustituir, no añadir — la clave antigua sale de la aplicación y entra en la lista de claves retiradas.

4. Volver a firmar cada complemento oficial con la nueva clave.

5. Demostrar — las pruebas verifican que ningún complemento lleva una clave retirada y que una clave retirada nunca vuelve a ponerse en servicio.

6. Distribuir la versión corregida mediante la actualización firmada.

7. Informar — las notas de la versión indican la clave retirada, la fecha y el motivo. Un complemento que siga firmado con ella deja de cargarse: es intencionado.

Lo que ya nos ha ocurrido

El 22 de septiembre de 2026, al intentar volver a firmar un complemento, constatamos que la parte privada de una de nuestras claves, creada el 4 de septiembre, se había perdido: nunca se había puesto a resguardo. En los minutos siguientes se puso en servicio una nueva clave, se volvieron a firmar los complementos y se retiró la clave antigua. Ningún complemento fue firmado por un tercero.

Pero la pérdida no se detectó hasta 18 días después de los hechos, porque nada verificaba que la clave siguiera existiendo. Por eso el paso 2 exige ahora poner la clave a resguardo antes de cualquier firma.