Hoe we een ondertekeningssleutel voor add-ons intrekken

Elke add-on van Sekervia is ondertekend (Ed25519). De applicatie weigert elke add-on waarvan de handtekening niet overeenkomt met een sleutel die ze kent. Maar ondertekenen is niet genoeg: waar het om gaat, is wat er gebeurt op de dag dat een sleutel verloren gaat of gecompromitteerd raakt, en hoe snel.

Onze toezegging

Binnen 24 uur nadat een probleem is vastgesteld, wordt de betrokken sleutel uit Sekervia verwijderd.

Binnen 72 uur wordt een gecorrigeerde en ondertekende versie verspreid via de automatische update.

Een ingetrokken sleutel wordt definitief geweigerd, ook als een oude kopie van de applicatie of een pakket hem nog aanbiedt: Sekervia houdt een lijst van ingetrokken sleutels bij en raadpleegt die vóór elke andere controle.

Wat we doen, stap voor stap

1. Vaststellen — een automatische controle verifieert bij elke versie dat elke geleverde add-on is ondertekend met een geldige sleutel. Een slecht uitgevoerde rotatie laat die controle mislukken.

2. Een nieuwe sleutel aanmaken — het privégedeelte ervan wordt onmiddellijk veilig opgeborgen, vóór elke ondertekening.

3. Vervangen, niet toevoegen — de oude sleutel verdwijnt uit de applicatie en komt op de lijst van ingetrokken sleutels.

4. Opnieuw ondertekenen — elke officiële add-on met de nieuwe sleutel.

5. Aantonen — de tests verifiëren dat geen enkele add-on een ingetrokken sleutel draagt en dat een ingetrokken sleutel nooit opnieuw in gebruik wordt genomen.

6. Verspreiden — de gecorrigeerde versie via de ondertekende update.

7. Informeren — de release notes vermelden de ingetrokken sleutel, de datum en de reden. Een add-on die nog daarmee is ondertekend, wordt niet meer geladen: dat is de bedoeling.

Wat ons al is overkomen

Op 22 september 2026 stelden we bij een poging om een add-on opnieuw te ondertekenen vast dat het privégedeelte van een van onze sleutels, aangemaakt op 4 september, verloren was gegaan: het was nooit veilig opgeborgen. Binnen enkele minuten werd een nieuwe sleutel in gebruik genomen, werden de add-ons opnieuw ondertekend en werd de oude sleutel ingetrokken. Geen enkele add-on is door een derde ondertekend.

Maar het verlies werd pas 18 dagen na de feiten opgemerkt, omdat niets controleerde of de sleutel nog bestond. Daarom schrijft stap 2 nu voor dat de sleutel vóór elke ondertekening veilig wordt opgeborgen.