Warp сменила GPG-ключ для Linux-пакетов после инцидента безопасности

Warp сменила GPG-подключ, которым подписывает часть релизов для Linux. Компания называет это предупредительной мерой после инцидента безопасности на прошлой неделе. Свидетельств того, что ключ использовали посторонние, по её словам, нет.

GPG-подпись помогает системе убедиться, что пакет выпустила Warp и его не подменили. Основной ключ остался прежним, сменился только подключ для подписи. Уже установленные сборки продолжают работать, но обновления менеджер пакетов примет только после того, как в системе появится новый открытый ключ.

Команды зависят от дистрибутива. В Ubuntu и Debian новый ключ скачивают из репозитория Warp и кладут в каталог доверенных ключей apt, после чего обновляют список пакетов. В Arch ключ забирают через pacman-key.

В Fedora 43 и новее пакет обновляет ключ на месте. В Fedora 42 и более старых, а также в RHEL, CentOS, Rocky, AlmaLinux и openSUSE старый ключ сначала удаляют: если импортировать новый поверх него, команда может отчитаться об успехе, но ничего не изменит. Проверить результат можно по отпечаткам. Новый подключ D272 B58E 4BF4 EA3E 7CB9 58A5 5AC0 1A19 A09F A9A6 действует до 29 октября 2028 года. Отозванный имеет отпечаток 19A1 E427 461B 1795 F73F 6296 31F4 254A FE49 E02E; отпечаток основного ключа не изменился.

Что именно произошло в ходе инцидента и затронул ли он релизы Warp, компания не сообщает.