Всички добавки за Firefox са деактивирани поради изтичане на сертификата на Mozilla

Компания Mozilla предупредила за възникването на масови на проблеми с добавките за Firefox. Всички потребители на браузъра имат забранени добавки поради изтичането на срока на сертификата, използван за форматиране на цифрови подписи. Освен това се отбелязва невъзможността за инсталиране на нови добавки от официалния каталог AMO (addons.mozilla.org).

Изходът от възникналата ситуация все още не е намерен, разработчиците на Mozilla обмислят възможни варианти за корекция и все още ограничават само до общо потвърждение на възникналата ситуация. Споменава се само, че добавките станали неактивни след 0 часа (UTC) на 4 май. Сертификатът трябваше да бъде обновен преди седмица, но по някакви причини това не се е случило и този факт остана незабелязан. Сега, след няколко минути от стартирането на браузъра, се показва предупреждение за изключването на добавките поради проблеми с цифровия подпис и добавките изчезват от списъка. Проверката на цифровия подпис се извършва веднъж на ден или след стартиране на браузъра, затова в отдавна стартирани примери Firefox добавките могат да се изключат не веднага.

Като заобиколно решение за възстановяване на достъпа до добавките, потребителите на Linux могат да деактивират проверката на цифровия подпис чрез задаване на променливата „xpinstall.signatures.required“ на „false“ в about:config. Този метод за стабилни и бета версии работи само в Linux и Android, за Windows и macOS подобна манипулация е възможна само в нощни сборки и в версията за разработчици (Developer Edition). Като вариант, също така може да се промени стойността на системните часовници на времето преди изтичането на срока на сертификата, тогава ще се върне възможността за инсталиране на добавки от каталога AMO, но вече инсталираната маркировка не се премахва.

Напомняме, че задължителната проверка на добавките за Firefox по цифрови подписи беше въведена през април 2016 година. Според Mozilla, проверката по цифрови подписи позволява блокиране на разпространението на злонамерени и шпионски добавки. Някои разработчици на добавки не се съгласия с такова становище и смятат, че механизмът за задължителна проверка по цифровия подпис само създава затруднения за разработчиците и води до увеличаване на времето за предоставяне на коригиращи версии на потребителите, без да влияе на сигурността. Съществуват много тривиални и очевидни приеми за заобикаляне на системата за автоматизирана проверка на добавки, позволяващи незабелязано внедряване на злонамерен код, например чрез генериране на операция в движение, свързвайки няколко реда и след това изпълнявайки получената команда чрез извикване на eval. Позицията на Mozilla се свежда до това, че повечето автори на злонамерени добавки са мързеливи и няма да прибягват до подобни техники за скриване на злонамерена активност.

Добавка: Разработчиците на Mozilla обявиха започнаха тестове на корекция, която при успешна проверка скоро ще бъде предоставена на потребителите (решението за прилагане на предложената корекция все още не е взето). Преди прилагането на корекцията, генерирането на цифрови подписи за нови добавки е деактивирано.

Източник: opennet.ru