Come revochiamo una chiave di firma dei componenti aggiuntivi

Ogni componente aggiuntivo di Sekervia è firmato (Ed25519). L'applicazione rifiuta qualsiasi componente aggiuntivo la cui firma non corrisponda a una chiave che conosce. Ma firmare non basta: ciò che conta è cosa succede il giorno in cui una chiave viene persa o compromessa, e in quanto tempo.

Il nostro impegno

Entro 24 ore dalla constatazione di un problema, la chiave interessata viene ritirata da Sekervia.

Entro 72 ore, una versione corretta e firmata viene distribuita tramite l'aggiornamento automatico.

Una chiave ritirata viene rifiutata in modo definitivo, anche se una vecchia copia dell'applicazione o un pacchetto la presenta ancora: Sekervia tiene un elenco delle chiavi ritirate e lo consulta prima di qualsiasi altra verifica.

Cosa facciamo, passo dopo passo

1. Constatare — un controllo automatico verifica, a ogni versione, che ogni componente aggiuntivo distribuito sia firmato con una chiave in vigore. Una rotazione eseguita male lo fa fallire.

2. Creare una nuova chiave — la sua parte privata viene messa al sicuro immediatamente, prima di qualsiasi firma.

3. Sostituire, non aggiungere — la vecchia chiave esce dall'applicazione ed entra nell'elenco delle chiavi ritirate.

4. Firmare di nuovo ogni componente aggiuntivo ufficiale con la nuova chiave.

5. Dimostrare — i test verificano che nessun componente aggiuntivo porti una chiave ritirata e che una chiave ritirata non venga mai rimessa in servizio.

6. Distribuire la versione corretta tramite l'aggiornamento firmato.

7. Informare — le note di rilascio indicano la chiave ritirata, la data e il motivo. Un componente aggiuntivo ancora firmato con essa non viene più caricato: è voluto.

Cosa ci è già successo

Il 22 settembre 2026, nel tentativo di firmare di nuovo un componente aggiuntivo, abbiamo constatato che la parte privata di una delle nostre chiavi, creata il 4 settembre, era andata persa: non era mai stata messa al sicuro. Nei minuti successivi è stata messa in servizio una nuova chiave, i componenti aggiuntivi sono stati firmati di nuovo e la vecchia chiave è stata ritirata. Nessun componente aggiuntivo è stato firmato da terzi.

Ma la perdita è stata notata solo 18 giorni dopo i fatti, perché nulla verificava che la chiave esistesse ancora. Per questo il passo 2 impone ora di mettere la chiave al sicuro prima di qualsiasi firma.