Ich finde, die Überschrift klingt hier erst einmal schlimmer als der eigentliche Sachverhalt (Click Bait?!): Der private Schlüssel lag ja offenbar nicht in einem öffentlichen GitHub-Repo, sondern in einem privaten Repository, auf das laut Mozilla nur eine kleine Gruppe von Mitarbeitern Zugriff hatte..., ja und diese Personen waren vermutlich ohnehin für den Schlüssel autorisiert.
Trotzdem ist das natürlich ein ziemlich unangenehmer Fehler. Gerade bei einem Projekt wie Firefox ist die Signatur ja ein Teil der Vertrauenskette: Sie soll mir letztlich bestätigen, dass ein heruntergeladenes Paket wirklich von Mozilla stammt und nicht während der Übertragung manipuliert wurde.
Positiv finde ich immerhin die Reaktion. Schlüssel zu widerrufen, neuen Key ausrollen und den Vorfall öffentlich machen, obwohl man laut den Logs kein unberechtigter Zugriff stattgefunden hat ist definitiv die richtige Vorgehensweise. In so einem Fall würde ich mich auch nicht darauf verlassen, dass „wahrscheinlich niemand drauf zugegriffen hat“. Ist ein privater Schlüssel einmal außerhalb seiner vorgesehenen Umgebung gelandet, würde ich ihn ebenfalls grundsätzlich als potenziell kompromittiert betrachten und austauschen.
Was mir in Mozillas Stellungnahme allerdings fehlt, ist die eigentlich für uns spannende Erklärung: Wie konnte ein unverschlüsselter Signing-Key überhaupt in einem Git-Repo landen? Und wie lange lag er dort? Gerade daraus könnte man etwas über die internen Prozesse lernen. „Wir haben zusätzliche Schutzmaßnahmen eingebaut“ ist zwar schön, bleibt aber ziemlich oberflächlich und abstrakt.
