https://www.opennet.ru/openforum/vsluhforumID3/140992.html Компания Mozilla объявила о замене GPG-ключа, применяемого для заверения цифровой подписью артефактов релизов Firefox и Thunderbird, таких как tar-архивы, RPM-пакеты и файлы с контрольными суммами. Замена произведена в связи с инцидентом, в результате которого назашифрованная копия ключа была по недосмотру добавлена в приватный репозиторий компании на GitHub, доступный ограниченному числу участников проекта, которые имели доступ к применению ключа через внутренние сервисы...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66062<br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#106 Mon, 17 Aug 2026 04:36:59 GMT Бред не неси. Ключ на этапе сборки пакета нигде не используется, подписывающему достаточно только заверить хэш получившегося тарболла и выплюнуть .sig. Для этого ничего пушить в гит не нужно, даже в закрытый, а тем более у которого зеркало на гитхабе кек. Пользы от такого приватного ключа столько же, сколько будет от твоего ника еслм ты логин с паролем сейчас в ответ приложишь.<br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#105 Fri, 14 Aug 2026 06:36:37 GMT &gt; умный ЫЫ сразу говорит "Да, действительно, ключи выкладывать нельзя. Я ошибся, давайте <br>&gt; поменяем ключи. Извините, я снова ошибся, ключи выкладывать нельзя. Давайте еще <br>&gt; раз поменяем ключи." <br><br>Память была очищена. Что хотите сделать?<br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#104 Fri, 14 Aug 2026 01:46:53 GMT Хммм... А это интересно. С какого Фаерфокс может считаться опенсорсом, если GPG ключ приватный? Как-то это противоречит открытости.<br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#103 Wed, 12 Aug 2026 15:44:41 GMT ну зря они что-ли на ежедневные релизы переходили<br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#100 Wed, 12 Aug 2026 06:23:42 GMT умный ЫЫ сразу говорит "Да, действительно, ключи выкладывать нельзя. Я ошибся, давайте поменяем ключи. Извините, я снова ошибся, ключи выкладывать нельзя. Давайте еще раз поменяем ключи."<br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#99 Wed, 12 Aug 2026 05:44:21 GMT &gt; Помнится сын турецко поданного, вопрос с замками решал не имея ключа..<br><br>по моему, запятая не на том месте?! :о)<br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#98 Wed, 12 Aug 2026 05:00:41 GMT &gt; После такого весь отдел безопасности можно просто уволить.<br><br>а надо было - до! Тогда ключи под ковриком никто бы не нашел!<br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#97 Wed, 12 Aug 2026 04:58:09 GMT &gt; Та и ладно Всё равно никто эти подписи не проверяет.<br><br>rpm же ж. Наоборот, единственное место где проверялось.<br><br><br><br> https://www.opennet.ru/openforum/vsluhforumID3/140992.html#96 Wed, 12 Aug 2026 04:47:30 GMT &gt;&gt;ну откуда ты знаешь какие сегодня файлы ненужно <br>&gt; Ну да, ключи то точно надо вчера.<br><br>вчера мы рпмы не собирали и ключи было не надо, их просто не было в проекте.<br>завтра попадется keytab, послезавтра файлик от кипаса смахнет, или еще какую дребедень, где и имя-то не угадать.<br><br>Я пока было не лень гоняться за каждым васяном - аналогичную коллекцию держал внутри веб-сервера ( GET .git - 444 и перманентный бан) и скажу тебе - изрядно она за годы разрослась. Для сервера это разумный подход (от пользователя с подобными запросами мы в любом случае хорошего не ждем), а пихать такую же коллекцию в .gitignore чисто на всякий случай... ну не знаю, попробуй что-ли. Мне проще избегать -A<br><br>А с этими вот... с ними по-моему уже ничего не поделать.<br>