Cum revocăm o cheie de semnare a extensiilor

Fiecare extensie Sekervia este semnată (Ed25519). Aplicația refuză orice extensie a cărei semnătură nu corespunde unei chei pe care o cunoaște. Dar semnarea nu este suficientă: ceea ce contează este ce se întâmplă în ziua în care o cheie este pierdută sau compromisă și în cât timp.

Angajamentul nostru

În 24 de ore de la constatarea unei probleme, cheia în cauză este retrasă din Sekervia.

În 72 de ore, o versiune corectată și semnată este livrată prin actualizarea automată.

O cheie retrasă este refuzată definitiv, chiar dacă o copie veche a aplicației sau un pachet o mai prezintă: Sekervia ține o listă a cheilor retrase și o consultă înaintea oricărei alte verificări.

Ce facem, pas cu pas

1. Constatarea — un control automat verifică, la fiecare versiune, că fiecare extensie livrată este semnată cu o cheie în vigoare. O rotație efectuată greșit îl face să eșueze.

2. Crearea unei chei noi — partea sa privată este pusă imediat la adăpost, înainte de orice semnare.

3. Înlocuire, nu adăugare — cheia veche iese din aplicație și intră în lista cheilor retrase.

4. Re-semnarea fiecărei extensii oficiale cu cheia nouă.

5. Dovada — testele verifică faptul că nicio extensie nu poartă o cheie retrasă și că o cheie retrasă nu este niciodată repusă în funcțiune.

6. Distribuirea versiunii corectate prin actualizarea semnată.

7. Informarea — notele de versiune numesc cheia retrasă, data și motivul. O extensie încă semnată cu ea nu se mai încarcă: este intenționat.

Ce ni s-a întâmplat deja

Pe 22 septembrie 2026, încercând să re-semnăm o extensie, am constatat că partea privată a uneia dintre cheile noastre, creată pe 4 septembrie, fusese pierdută: nu fusese niciodată pusă la adăpost. O cheie nouă a fost pusă în funcțiune, extensiile au fost re-semnate, iar cheia veche a fost retrasă în minutele care au urmat. Nicio extensie nu a fost semnată de o terță parte.

Dar pierderea a fost observată abia la 18 zile după fapte, deoarece nimic nu verifica dacă cheia mai exista. De aceea, pasul 2 impune acum punerea cheii la adăpost înainte de orice semnare.