Como revogamos uma chave de assinatura de complementos

Todo complemento do Sekervia é assinado (Ed25519). O aplicativo recusa qualquer complemento cuja assinatura não corresponda a uma chave que ele conheça. Mas assinar não basta: o que importa é o que acontece no dia em que uma chave é perdida ou comprometida, e em quanto tempo.

Nosso compromisso

Em até 24 horas após a detecção de um problema, a chave afetada é retirada do Sekervia.

Em até 72 horas, uma versão corrigida e assinada é liberada pela atualização automática.

Uma chave retirada é recusada definitivamente, mesmo que uma cópia antiga do aplicativo ou um pacote ainda a apresente: o Sekervia mantém uma lista das chaves retiradas e a consulta antes de qualquer outra verificação.

O que fazemos, passo a passo

1. Detectar — um controle automático verifica, a cada versão, se cada complemento distribuído está assinado por uma chave vigente. Uma rotação malfeita faz com que ele falhe.

2. Criar uma nova chave — sua parte privada é guardada em segurança imediatamente, antes de qualquer assinatura.

3. Substituir, não adicionar — a chave antiga sai do aplicativo e entra na lista das chaves retiradas.

4. Assinar novamente cada complemento oficial com a nova chave.

5. Comprovar — os testes verificam que nenhum complemento carrega uma chave retirada e que uma chave retirada nunca é colocada de volta em uso.

6. Distribuir a versão corrigida pela atualização assinada.

7. Informar — as notas da versão identificam a chave retirada, a data e o motivo. Um complemento ainda assinado com ela deixa de ser carregado: isso é intencional.

O que já aconteceu conosco

Em 22 de setembro de 2026, ao tentar assinar novamente um complemento, constatamos que a parte privada de uma de nossas chaves, criada em 4 de setembro, tinha sido perdida: ela nunca tinha sido guardada em segurança. Nos minutos seguintes, uma nova chave foi colocada em uso, os complementos foram assinados novamente e a chave antiga foi retirada. Nenhum complemento foi assinado por terceiros.

Mas a perda só foi percebida 18 dias depois do ocorrido, porque nada verificava se a chave ainda existia. É por isso que a etapa 2 agora exige guardar a chave em segurança antes de qualquer assinatura.