Как мы отзываем ключ подписи дополнения

Каждое дополнение Sekervia подписано (Ed25519). Приложение отклоняет любое дополнение, подпись которого не соответствует известному ему ключу. Но одной подписи недостаточно: важно то, что происходит в день, когда ключ утерян или скомпрометирован, и за какое время.

Наше обязательство

В течение 24 часов после обнаружения проблемы соответствующий ключ удаляется из Sekervia.

В течение 72 часов исправленная и подписанная версия поступает через автоматическое обновление.

Удалённый ключ отклоняется окончательно, даже если старая копия приложения или пакет всё ещё его предъявляет: Sekervia ведёт список удалённых ключей и сверяется с ним перед любой другой проверкой.

Что мы делаем, шаг за шагом

1. Обнаружить — автоматическая проверка в каждой версии контролирует, что каждое поставляемое дополнение подписано действующим ключом. Неправильно выполненная ротация приводит к тому, что эта проверка не проходит.

2. Создать новый ключ — его закрытая часть немедленно помещается в надёжное место, ещё до любой подписи.

3. Заменить, а не добавить — старый ключ удаляется из приложения и вносится в список удалённых ключей.

4. Повторно подписать каждое официальное дополнение новым ключом.

5. Доказать — тесты проверяют, что ни одно дополнение не несёт удалённого ключа и что удалённый ключ никогда не возвращается в использование.

6. Распространить исправленную версию через подписанное обновление.

7. Сообщить — в примечаниях к выпуску указываются удалённый ключ, дата и причина. Дополнение, всё ещё подписанное им, больше не загружается: так задумано.

Что с нами уже случалось

22 сентября 2026 года, собираясь повторно подписать дополнение, мы обнаружили, что закрытая часть одного из наших ключей, созданного 4 сентября, была утеряна: её так и не поместили в надёжное место. Новый ключ был введён в действие, дополнения повторно подписаны, а старый ключ удалён в течение последующих минут. Ни одно дополнение не было подписано третьей стороной.

Однако утрату заметили лишь через 18 дней после события, потому что ничто не проверяло, существует ли ещё ключ. Именно поэтому шаг 2 теперь требует помещать ключ в надёжное место до любой подписи.