Всички добавки за Firefox са деактивирани поради изтичане на сертификата на Mozilla

Компания Mozilla предупреди за възникването на масови проблеми проблеми с добавките за Firefox. При всички потребители на браузъра добавките бяха блокирани поради изтичане на срока на сертификата, използван за генериране на цифровите подписи. Освен това се отбелязва невъзможността за инсталиране на нови добавки от официалния каталог AMO (addons.mozilla.org).

Изходът от тази ситуация все още не е намерен, разработчиците на Mozilla обмислят възможните варианти за коригиране и засега ограничават само до общо потвърждение на възникналата ситуация. Споменава се само, че добавките станаха неактивни след настъпването на 0 часа (UTC) на 4 май. Сертификатът трябваше да бъде обновен преди седмица, но по неизвестни причини това не се е случило и този факт е останал незабелязан. Сега, няколко минути след стартиране на браузъра, се показва предупреждение за деактивиране на добавките поради проблеми с цифровия подпис и добавките изчезват от списъка. Проверката на цифровия подпис се извършва веднъж на ден или след стартиране на браузъра, затова в отдавна стартирани инстанции на Firefox добавките може да се деактивират не веднага.

Като обходен вариант за възстановяване на достъпа до добавките потребителите на Linux могат да деактивират проверката на цифровия подпис чрез задаване на променливата „xpinstall.signatures.required“ на стойност „false“ в about:config. Този метод за стабилни и бета версии работи само в Linux и Android, за Windows и macOS подобна манипулация е възможна само в нощни билдове и в версията за разработчици (Developer Edition). Като вариант също може да се промени стойността на системните часове на време преди изтичането на сертификата, тогава ще се възстанови възможността за инсталиране на добавки от каталога AMO, но вече инсталираната маркировка за деактивиране не се отменя.

Припомняме, че задължителната проверка на добавките на Firefox по цифрови подписи е въведена през април 2016 година. Според Mozilla проверката по цифровия подпис позволява блокиране на разпространението на злонамерени и шпионски добавки. Някои разработчици на добавки не са съгласни с такава позиция и смятат, че механизмът на задължителната проверка чрез цифров подпис само създава усложнения за разработчиците и увеличава времето за предоставяне на коригиращи версии на потребителите, без да влияе на безопасността. Съществуват множество тривиални и очевидни методи за заобикаляне на системата за автоматизирана проверка на добавки, позволяващи незабелязано вмъкване на злонамерен код, например, чрез динамично генериране на операцията, свързвайки няколко реда, последвано от изпълнението на резултатния ред чрез извикване на eval. Позицията на Mozilla датира до това, че повечето автори на злонамерени добавки са мързеливи и няма да прибягват до подобни техники за прикриване на злонамерена активност.

Добавка: Разработчиците на Mozilla съобщиха за започването на тестването на корекция, която, ако бъде успешно проверена, в скоро време ще бъде предоставена на потребителите (решението за прилагане на предложената корекция все още не е взето). Преди прилагането на поправката, генерирането на цифрови подписи за нови добавки е деактивирано.

Източник: opennet.ru