[2026-03-27] PBH-BTN 安全通告 - 因 Apifox 导致的潜在密钥泄露，公告证书吊销

[Ghost-chu]

【PBH-BTN 安全通告 2026-03-27】

由于我们使用的 API 管理工具 Apifox 遭遇供应链投毒攻击，因 Apifox 客户端程序禁用了安全沙箱功能导致远程代码在开发者本地计算机上执行，用于服务器验证的 SSH 私钥和用于软件包签名的 GPG 私钥因此遭到泄露。在调查过程中确认有充足证据表明相关恶意代码已被执行，且私钥可能已暴露在不可信环境中。

影响范围： PeerBanHelper .deb 软件包仓库；PBH-BTN 生产、中继、监测服务器环境

以下范围没有受到影响： PeerBanHelper 主程序及其软件包因使用硬件安全密钥保护，未受到影响；版本发布二进制程序因完全由 CI 自动流水线完成发布，未受到影响；Docker、Windows、Portable 均未受到影响。

影响描述： 私钥泄露后，恶意攻击者可使用泄露的私钥伪造 PeerBanHelper 的开发者进行有效的数字签名，伪装官方版本发布。由于 PeerBanHelper 发布渠道通常固定，且使用可信源进行版本发布，可预见对于大部分用户都不会产生影响。经过调查，生产、中继、检测服务器没有发现异常登录和可能的数据外泄。我们认为此安全事件不会造成重大影响。

已采取措施： 我们已吊销了受到影响的 GPG 密钥，并将吊销信息发布到 keyserver.ubuntu.com、keys.openpgp.org、pgp.mit.edu。遭到泄露的 SSH 密钥已从所有服务器上轮换。

需要行动： 如果您使用 .deb 软件包仓库安装和管理 PeerBanHelper 软件包，请您从操作系统可信证书中删除已安装的 PeerBanHelper 公钥(/etc/apt/keyrings/pbh-btn.asc)，因为其可能已经泄露，不在安全，并重新下载新的公钥文件。

现在公告吊销公钥为下面值的 SSH 和 GPG 密钥。相关的证书吊销信息已上传密钥服务器：

GPG

• 47EF02B7F3FA020AD2BD980F4C7219C336D858CC (Ghost_chu's Master Key 2908803755@qq.com 2022-07-01 [SC] [revoked: 2026-03-27])
• 8BCFC03655D04B20AA56F5097C1CC5E592BB7EFE (PBH-BTN PeerBanHelper APT-Repo Key ghostchu@pbh-btn.com 2026-02-01 [SC] [revoked: 2026-03-27])

SSH

• ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIB8/4hpHC7XJ8VgiqB46pbf0cf8NvD/yd2l6+DWt89TZ 2908803755@qq.com
• ssh-rsa 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 2908803755@qq.com