Kuidas me lisamoodulite allkirjastamisvõtme tühistame

Iga Sekervia lisamoodul on allkirjastatud (Ed25519). Rakendus keeldub igast lisamoodulist, mille allkiri ei vasta talle teadaolevale võtmele. Kuid allkirjastamisest ei piisa: oluline on see, mis juhtub päeval, mil võti kaob või kompromiteeritakse, ja kui palju aega see võtab.

Meie kohustus

24 tunni jooksul pärast probleemi tuvastamist eemaldatakse asjaomane võti Sekerviast.

72 tunni jooksul levitatakse parandatud ja allkirjastatud versioon automaatse uuenduse kaudu.

Eemaldatud võti lükatakse lõplikult tagasi, isegi kui rakenduse vana koopia või pakett seda endiselt esitab: Sekervia peab eemaldatud võtmete loendit ja kontrollib seda enne mis tahes muud kontrolli.

Mida me teeme, samm-sammult

1. Tuvastada — automaatne kontroll veendub iga versiooni puhul, et iga tarnitud lisamoodul on allkirjastatud kehtiva võtmega. Valesti tehtud võtmevahetuse korral kontroll nurjub.

2. Luua uus võti — selle privaatne osa pannakse kohe turvalisse kohta, enne mis tahes allkirjastamist.

3. Asendada, mitte lisada — vana võti eemaldatakse rakendusest ja kantakse eemaldatud võtmete loendisse.

4. Allkirjastada uuesti iga ametlik lisamoodul uue võtmega.

5. Tõestada — testid kontrollivad, et ükski lisamoodul ei kanna eemaldatud võtit ja et eemaldatud võtit ei võeta kunagi uuesti kasutusele.

6. Levitada parandatud versiooni allkirjastatud uuenduse kaudu.

7. Teavitada — väljalaskemärkmetes nimetatakse eemaldatud võti, kuupäev ja põhjus. Sellega endiselt allkirjastatud lisamoodulit enam ei laadita: see on taotluslik.

Mis meiega on juba juhtunud

22. septembril 2026, kui soovisime üht lisamoodulit uuesti allkirjastada, avastasime, et ühe meie võtme, mis loodi 4. septembril, privaatne osa oli kadunud: seda polnud kunagi turvalisse kohta pandud. Järgnevate minutite jooksul võeti kasutusele uus võti, lisamoodulid allkirjastati uuesti ja vana võti eemaldati. Ükski kolmas osapool ei allkirjastanud ühtegi lisamoodulit.

Kuid kadu märgati alles 18 päeva pärast juhtunut, sest miski ei kontrollinud, kas võti on endiselt olemas. Seetõttu nõuab samm 2 nüüd, et võti pandaks turvalisse kohta enne mis tahes allkirjastamist.