Hur vi återkallar en signeringsnyckel för tillägg

Varje tillägg till Sekervia är signerat (Ed25519). Programmet vägrar alla tillägg vars signatur inte motsvarar en nyckel som det känner till. Men att signera räcker inte: det som räknas är vad som händer den dag en nyckel förloras eller komprometteras, och hur snabbt.

Vårt åtagande

Inom 24 timmar efter att ett problem har konstaterats tas den berörda nyckeln bort från Sekervia.

Inom 72 timmar skickas en korrigerad och signerad version ut via den automatiska uppdateringen.

En borttagen nyckel avvisas permanent, även om en gammal kopia av programmet eller ett paket fortfarande uppvisar den: Sekervia för en lista över borttagna nycklar och kontrollerar den före varje annan verifiering.

Vad vi gör, steg för steg

1. Konstatera — en automatisk kontroll verifierar, vid varje version, att varje levererat tillägg är signerat med en giltig nyckel. En felaktigt genomförd rotation får den att misslyckas.

2. Skapa en ny nyckel — dess privata del förvaras säkert omedelbart, före varje signering.

3. Ersätta, inte lägga till — den gamla nyckeln tas bort ur programmet och förs in i listan över borttagna nycklar.

4. Signera om varje officiellt tillägg med den nya nyckeln.

5. Bevisa — testerna verifierar att inget tillägg bär en borttagen nyckel, och att en borttagen nyckel aldrig tas i bruk igen.

6. Distribuera den korrigerade versionen via den signerade uppdateringen.

7. Informera — versionsanteckningarna anger den borttagna nyckeln, datumet och orsaken. Ett tillägg som fortfarande är signerat med den läses inte längre in: det är avsiktligt.

Det som redan har hänt oss

Den 22 september 2026, när vi skulle signera om ett tillägg, konstaterade vi att den privata delen av en av våra nycklar, skapad den 4 september, hade förlorats: den hade aldrig förvarats säkert. En ny nyckel togs i bruk, tilläggen signerades om och den gamla nyckeln togs bort inom de närmast följande minuterna. Inget tillägg har signerats av någon tredje part.

Men förlusten upptäcktes först 18 dagar efter händelsen, eftersom ingenting kontrollerade att nyckeln fortfarande fanns. Därför kräver steg 2 numera att nyckeln förvaras säkert före varje signering.