Kako prekličemo ključ za podpisovanje dodatkov

Vsak dodatek za Sekervia je podpisan (Ed25519). Aplikacija zavrne vsak dodatek, katerega podpis se ne ujema s ključem, ki ga pozna. Vendar podpis ni dovolj: pomembno je, kaj se zgodi tisti dan, ko je ključ izgubljen ali ogrožen, in v kolikšnem času.

Naša zaveza

V 24 urah po ugotovitvi težave je zadevni ključ umaknjen iz aplikacije Sekervia.

V 72 urah je popravljena in podpisana različica poslana prek samodejne posodobitve.

Umaknjen ključ je trajno zavrnjen, tudi če ga stara kopija aplikacije ali paket še vedno predloži: Sekervia vodi seznam umaknjenih ključev in ga preveri pred vsakim drugim preverjanjem.

Kaj naredimo, korak za korakom

1. Ugotoviti — samodejni nadzor pri vsaki različici preveri, ali je vsak dobavljeni dodatek podpisan z veljavnim ključem. Slabo izvedena rotacija povzroči, da nadzor ne uspe.

2. Ustvariti nov ključ — njegov zasebni del se takoj varno shrani, še pred kakršnim koli podpisovanjem.

3. Zamenjati, ne dodati — stari ključ se odstrani iz aplikacije in uvrsti na seznam umaknjenih ključev.

4. Ponovno podpisati vsak uradni dodatek z novim ključem.

5. Dokazati — testi preverijo, da noben dodatek ne nosi umaknjenega ključa in da se umaknjen ključ nikoli več ne uvede v uporabo.

6. Distribuirati popravljeno različico prek podpisane posodobitve.

7. Obvestiti — opombe ob izdaji navedejo umaknjeni ključ, datum in razlog. Dodatek, ki je še vedno podpisan z njim, se ne naloži več: to je namerno.

Kaj se nam je že zgodilo

22. septembra 2026 smo ob poskusu ponovnega podpisa dodatka ugotovili, da je bil zasebni del enega od naših ključev, ustvarjenega 4. septembra, izgubljen: nikoli ni bil varno shranjen. V naslednjih minutah je bil v uporabo uveden nov ključ, dodatki so bili ponovno podpisani, stari ključ pa umaknjen. Nobenega dodatka ni podpisala tretja oseba.

Izgubo pa smo opazili šele 18 dni po dogodku, ker nič ni preverjalo, ali ključ še obstaja. Zato korak 2 zdaj zahteva, da se ključ varno shrani pred kakršnim koli podpisovanjem.