Mozilla Cabut Kunci Tanda Tangan Firefox dan Thunderbird Linux Setelah Bocor di Repo Privat

Mozilla baru-baru ini mengambil langkah drastis dengan mencabut kunci tanda tangan kriptografi untuk unduhan Firefox dan Thunderbird versi Linux. Keputusan ini diambil setelah sebuah salinan kunci tersebut secara tidak sengaja diunggah dalam bentuk unencrypted (tidak terenkripsi) ke salah satu repositori kode privat milik perusahaan.

Kunci ini memiliki peran vital: digunakan untuk memastikan bahwa berkas tarball Firefox yang diunduh oleh pengguna atau distribusi Linux memang berasal dari Mozilla dan tidak mengalami manipulasi selama proses pengunduhan. Dengan kata lain, kunci ini adalah pondasi keamanan dalam proses verifikasi keaslian perangkat lunak.

Implikasi Pembatalan Kunci Tanda Tangan

Pencabutan kunci ini membawa konsekuensi serius bagi pengguna yang melakukan verifikasi tanda tangan secara manual. Setelah pengguna mengimpor sertifikat pencabutan (revocation), berkas-berkas yang sebelumnya ditandatangani dengan kunci lama akan gagal diverifikasi. Hal ini tidak hanya berdampak pada unduhan baru, tetapi juga pada versi Firefox dan Thunderbird lama yang sebelumnya telah diunduh.

Namun, Mozilla menegaskan bahwa sejauh ini tidak ada indikasi pihak luar yang memperoleh akses ke kunci tersebut. Repository tempat kunci itu ditemukan bersifat privat, dan audit internal menunjukkan tidak ada tanda-tanda akses tidak sah. Semua orang yang memiliki akses memang sudah berwenang melihat isi repositori tersebut. Meski demikian, Mozilla tetap melakukan pencabutan kunci demi tindakan pencegahan.

Siapa yang Harus Melakukan Tindakan?

Mayoritas pengguna Firefox dan Thunderbird tidak perlu khawatir atau melakukan tindakan apa pun. Namun, ada dua kelompok pengguna yang harus memperhatikan perubahan ini:

• Pengguna yang secara manual memeriksa tanda tangan digital harus mengimpor kunci baru beserta sertifikat pencabutan kunci lama agar proses verifikasi berjalan lancar.
• Pengguna yang menginstal Firefox melalui paket RPM resmi Mozilla mungkin akan menghadapi kegagalan pembaruan dan harus mengganti kunci secara manual.

Kunci pengganti yang diterbitkan pada hari Senin memiliki sidik jari (fingerprint) 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3 dan berlaku sampai tanggal 5 Agustus 2028.

Makna Revokasi Kunci Menurut OpenPGP

Dalam standar OpenPGP, pemilik kunci bisa melampirkan alasan mesin-baca saat melakukan pencabutan kunci. RFC 4880 menjelaskan bahwa kunci yang diganti atau pensiun hanya membuat tanda tangan baru tidak berlaku, namun tanda tangan lama tetap sah. Sebaliknya, kunci yang dicabut karena kompromi membuat seluruh tanda tangan yang pernah dihasilkan menjadi diragukan.

Analisis oleh The Hacker News terhadap sertifikat pencabutan yang diterbitkan bersamaan dengan kunci baru menunjukkan kode alasan 2, "material kunci telah dikompromikan," yang dibuat pada 6 Agustus 2026 pukul 11:14 UTC dengan catatan "Kami tidak lagi mempercayai kunci ini." Namun, Mozilla sendiri tidak secara eksplisit menyatakan bahwa kunci tersebut telah dicuri atau diakses pihak luar.

Pencabutan ini adalah pada subkunci yang ditandatangani oleh kunci utama 14F26682D0916CDD81E37B6D61B7B526D98F0353 yang tetap berlaku. Efek pencabutan dengan kode alasan 2 inilah yang menyebabkan unduhan lama tidak dapat diverifikasi, bukan pencabutan subkunci itu sendiri.

Rotasi Kunci Lebih Awal dari Jadwal

Menariknya, pencabutan ini dilakukan sekitar tujuh bulan lebih awal dari jadwal rotasi biasa. Mozilla biasanya mengganti subkunci ini setiap dua tahun sebagai langkah antisipasi terhadap kebocoran yang tidak diketahui. Subkunci yang dicabut ini diumumkan pada April 2025 dan seharusnya berlaku sampai Maret 2027.

Dalam repositori resmi Mozilla, ditemukan lima subkunci tanda tangan sebelumnya sejak tahun 2015 yang semuanya sudah berakhir masa berlakunya secara alami. Ini adalah pencabutan kunci pertama yang dilakukan Mozilla.

Dampak pada Pengguna RPM dan Distribusi Linux

Pada sisi paket RPM, manajer paket dnf di beberapa distribusi Linux sudah dapat menyesuaikan perubahan ini secara otomatis dengan mengunduh kunci yang diperbarui saat pembaruan berikutnya dan meminta konfirmasi sidik jari dari pengguna.

Namun, di distribusi lain proses ini gagal dengan pesan bahwa impor kunci tidak berhasil atau kunci repositori yang terpasang tidak sesuai dengan paket. Pengguna harus menghapus kunci lama terlebih dahulu dengan perintah:

sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353
sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg
sudo dnf clean all

Perlu dicatat bahwa Thunderbird tidak menyediakan paket RPM resmi, jadi langkah ini tidak berlaku untuk Thunderbird. Untuk pengguna openSUSE, perintah yang sama dapat dijalankan, lalu dilanjutkan dengan zypper refresh.

Keterangan yang Belum Dijelaskan Mozilla

Mozilla belum mengungkapkan repositori mana yang menyimpan kunci tersebut, berapa lama kunci itu berada di sana, maupun bagaimana masalah ini ditemukan. Mereka juga tidak menjelaskan langkah-langkah pengamanan tambahan yang diterapkan setelah kejadian ini.

Selain itu, tidak ada keterangan resmi terkait repositori APT yang melayani pengguna Debian dan Ubuntu, yang menggunakan kunci berbeda dan tidak terdampak dalam insiden ini.

Pengungkapan ini muncul hanya satu minggu setelah serangan siber yang membajak akun GitHub terkait paket keyv dan cacheable npm, di mana penyerang menyebarkan worm yang dirancang untuk mencuri data repositori, registri, cloud, dan kunci privat dari mesin pengembang dan pipeline CI.

Analisis Redaksi

Menurut pandangan redaksi, pencabutan kunci ini menggarisbawahi betapa pentingnya pengelolaan kunci kriptografi yang aman di era perangkat lunak open source dan distribusi Linux. Meski belum ada indikasi eksploitasi dari pihak luar, kejadian ini menjadi peringatan keras bahwa kesalahan pengelolaan kunci, sekecil apapun, dapat berdampak luas pada ekosistem keamanan perangkat lunak.

Pengguna yang memverifikasi tanda tangan manual dan administrator sistem wajib memahami perubahan ini agar tidak terjebak dalam masalah pembaruan atau verifikasi. Patch dan pembaruan kunci seperti ini harus menjadi bagian rutin dari praktik keamanan perangkat lunak untuk meminimalkan risiko yang tidak terdeteksi.

Ke depan, Mozilla dan pengelola distribusi Linux perlu meningkatkan transparansi dan komunikasi terkait insiden keamanan seperti ini agar pengguna lebih siap dan sistem distribusi perangkat lunak tetap terpercaya. Selain itu, penguatan proses audit dan pengamanan repositori privat harus menjadi prioritas utama untuk mencegah kasus serupa berulang.

Untuk informasi lebih lanjut dan update terkini tentang keamanan perangkat lunak, pembaca dapat mengikuti berita dari sumber terpercaya seperti The Hacker News dan media teknologi terkemuka lainnya.