Як ми відкликаємо ключ підпису доповнення

Кожне доповнення Sekervia підписане (Ed25519). Застосунок відхиляє будь-яке доповнення, підпис якого не відповідає відомому йому ключу. Але самого підпису недостатньо: важливо те, що відбувається в день, коли ключ втрачено або скомпрометовано, і за який час.

Наше зобов'язання

Протягом 24 годин після виявлення проблеми відповідний ключ вилучається з Sekervia.

Протягом 72 годин виправлена й підписана версія надходить через автоматичне оновлення.

Вилучений ключ відхиляється остаточно, навіть якщо стара копія застосунку чи пакет досі його пред'являє: Sekervia веде список вилучених ключів і перевіряє його перед будь-якою іншою перевіркою.

Що ми робимо, крок за кроком

1. Виявити — автоматична перевірка в кожній версії контролює, що кожне доповнення, що постачається, підписане чинним ключем. Неправильно виконана ротація призводить до того, що ця перевірка не проходить.

2. Створити новий ключ — його приватну частину негайно розміщують у безпечному місці, ще до будь-якого підпису.

3. Замінити, а не додати — старий ключ вилучається із застосунку та потрапляє до списку вилучених ключів.

4. Повторно підписати кожне офіційне доповнення новим ключем.

5. Довести — тести перевіряють, що жодне доповнення не має вилученого ключа і що вилучений ключ ніколи не повертається до використання.

6. Поширити виправлену версію через підписане оновлення.

7. Повідомити — у примітках до випуску зазначено вилучений ключ, дату та причину. Доповнення, яке досі підписане ним, більше не завантажується: так задумано.

Що вже з нами траплялося

22 вересня 2026 року, намагаючись повторно підписати доповнення, ми виявили, що приватну частину одного з наших ключів, створеного 4 вересня, було втрачено: її так і не розмістили в безпечному місці. Було введено в дію новий ключ, доповнення повторно підписано, а старий ключ вилучено протягом наступних хвилин. Жодне доповнення не було підписане третьою стороною.

Проте втрату помітили лише через 18 днів після події, бо ніщо не перевіряло, чи ключ досі існує. Саме тому крок 2 тепер вимагає розміщувати ключ у безпечному місці до будь-якого підпису.