Jak unieważniamy klucz podpisu dodatków

Każdy dodatek Sekervia jest podpisany (Ed25519). Aplikacja odrzuca każdy dodatek, którego podpis nie odpowiada znanemu jej kluczowi. Sam podpis jednak nie wystarcza: liczy się to, co dzieje się w dniu, w którym klucz zostaje utracony lub skompromitowany, i jak szybko.

Nasze zobowiązanie

W ciągu 24 godzin od stwierdzenia problemu dany klucz zostaje wycofany z Sekervia.

W ciągu 72 godzin poprawiona i podpisana wersja zostaje wysłana przez automatyczną aktualizację.

Wycofany klucz jest odrzucany na stałe, nawet jeśli stara kopia aplikacji lub pakiet nadal go przedstawia: Sekervia prowadzi listę wycofanych kluczy i sprawdza ją przed każdą inną weryfikacją.

Co robimy, krok po kroku

1. Wykrycie — automatyczna kontrola sprawdza przy każdej wersji, czy każdy dostarczany dodatek jest podpisany obowiązującym kluczem. Źle przeprowadzona rotacja sprawia, że kontrola kończy się niepowodzeniem.

2. Utworzenie nowego klucza — jego część prywatna zostaje natychmiast zabezpieczona, przed jakimkolwiek podpisaniem.

3. Zastąpienie, nie dodanie — stary klucz zostaje usunięty z aplikacji i trafia na listę wycofanych kluczy.

4. Ponowne podpisanie każdego oficjalnego dodatku nowym kluczem.

5. Dowód — testy sprawdzają, że żaden dodatek nie nosi wycofanego klucza i że wycofany klucz nigdy nie wraca do użytku.

6. Dystrybucja poprawionej wersji przez podpisaną aktualizację.

7. Informacja — informacje o wydaniu wskazują wycofany klucz, datę i powód. Dodatek nadal nim podpisany nie zostanie już załadowany: tak ma być.

Co już nam się przydarzyło

22 września 2026 r., chcąc ponownie podpisać dodatek, stwierdziliśmy, że część prywatna jednego z naszych kluczy, utworzonego 4 września, została utracona: nigdy nie została zabezpieczona. W ciągu kolejnych minut uruchomiono nowy klucz, ponownie podpisano dodatki i wycofano stary klucz. Żaden dodatek nie został podpisany przez stronę trzecią.

Utratę zauważono jednak dopiero 18 dni po fakcie, ponieważ nic nie sprawdzało, czy klucz nadal istnieje. Dlatego krok 2 wymaga teraz zabezpieczenia klucza przed jakimkolwiek podpisaniem.