Miten mitätöimme lisäosien allekirjoitusavaimen

Jokainen Sekervian lisäosa on allekirjoitettu (Ed25519). Sovellus hylkää kaikki lisäosat, joiden allekirjoitus ei vastaa sen tuntemaa avainta. Allekirjoittaminen ei kuitenkaan riitä: ratkaisevaa on, mitä tapahtuu sinä päivänä, kun avain katoaa tai vaarantuu, ja kuinka nopeasti.

Sitoumuksemme

24 tunnin kuluessa ongelman havaitsemisesta kyseinen avain poistetaan Sekerviasta.

72 tunnin kuluessa korjattu ja allekirjoitettu versio jaetaan automaattisen päivityksen kautta.

Poistettu avain hylätään pysyvästi, vaikka sovelluksen vanha kopio tai jokin paketti vielä esittäisi sen: Sekervia ylläpitää luetteloa poistetuista avaimista ja tarkistaa sen ennen mitään muuta tarkistusta.

Mitä teemme, vaihe vaiheelta

1. Havaitaan — automaattinen tarkistus varmistaa jokaisessa versiossa, että jokainen toimitettu lisäosa on allekirjoitettu voimassa olevalla avaimella. Virheellisesti tehty avainten vaihto saa sen epäonnistumaan.

2. Luodaan uusi avain — sen yksityinen osa siirretään heti turvaan, ennen yhtäkään allekirjoitusta.

3. Korvataan, ei lisätä — vanha avain poistetaan sovelluksesta ja lisätään poistettujen avainten luetteloon.

4. Allekirjoitetaan uudelleen jokainen virallinen lisäosa uudella avaimella.

5. Todistetaan — testit varmistavat, ettei yhdessäkään lisäosassa ole poistettua avainta ja ettei poistettua avainta koskaan oteta uudelleen käyttöön.

6. Jaetaan korjattu versio allekirjoitetun päivityksen kautta.

7. Tiedotetaan — julkaisutiedoissa nimetään poistettu avain, päivämäärä ja syy. Lisäosa, joka on yhä allekirjoitettu sillä, ei enää lataudu: tämä on tarkoituksellista.

Mitä meille on jo tapahtunut

Kun 22. syyskuuta 2026 halusimme allekirjoittaa erään lisäosan uudelleen, havaitsimme, että yhden 4. syyskuuta luodun avaimemme yksityinen osa oli kadonnut: sitä ei ollut koskaan siirretty turvaan. Seuraavien minuuttien aikana otettiin käyttöön uusi avain, lisäosat allekirjoitettiin uudelleen ja vanha avain poistettiin. Yksikään kolmas osapuoli ei allekirjoittanut yhtään lisäosaa.

Menetys huomattiin kuitenkin vasta 18 päivää tapahtuneen jälkeen, koska mikään ei tarkistanut, oliko avain yhä olemassa. Siksi vaihe 2 edellyttää nyt, että avain siirretään turvaan ennen yhtäkään allekirjoitusta.