Всички добавки за Firefox са деактивирани поради изтичане на сертификата на Mozilla

Компания Mozilla предупреди за появата на маса проблеми с добавки за Firefox. За всички потребители на браузъра добавките бяха блокирани поради изтичане на сертификата, използван за генериране на цифрови подписи. Освен това се отбелязва, че е невъзможно да се инсталират нови добавки от официалния каталог АМО (addons.mozilla.org).

Изходът от тази ситуация засега не е намерен, разработчиците на Mozilla обмислят възможни корекции и досега са се ограничили само до общо потвърждение на ситуацията. Споменава се само, че добавките са станали неактивни след 0 часа (UTC) на 4 май. Сертификатът трябваше да бъде подновен преди седмица, но по някаква причина това не се случи и този факт остана незабелязан. Сега, няколко минути след стартиране на браузъра, се показва предупреждение за деактивирани добавки поради проблеми с цифровия подпис и добавките изчезват от списъка. Цифровият подпис се проверява веднъж на ден или след стартиране на браузъра, така че при дълго работещи копия на Firefox добавките може да не бъдат деактивирани незабавно.

Като заобиколно решение за възстановяване на достъпа до добавки за потребители на Linux, можете да деактивирате проверката на цифровия подпис, като зададете променливата "xpinstall.signatures.required" на "false" в about:config. Този метод за стабилни и бета версии работи само на Linux и Android; за Windows и macOS подобна манипулация е възможна само при нощни компилации и в изданието за разработчици. Като опция можете също да промените стойността на системния часовник до времето преди изтичането на сертификата, след което възможността за инсталиране на добавки от AMO каталога ще се върне, но вече инсталираният флаг за деактивиране няма да бъде премахнат.

Нека ви напомним, че беше задължителна проверката на добавките на Firefox с цифрови подписи изпълнени през април 2016 г. Според Mozilla проверката на цифровия подпис ви позволява да блокирате разпространението на злонамерени добавки, които шпионират потребителите. Някои разработчици на добавки не се съгласявам с тази позиция те смятат, че механизмът на задължителна проверка с помощта на цифров подпис само създава трудности за разработчиците и води до увеличаване на времето, необходимо за предоставяне на коригиращи версии на потребителите, без това да засяга сигурността по никакъв начин. Има много тривиални и очевидни приеми за заобикаляне на автоматизираната проверка за добавки, които позволяват незабелязано вмъкване на зловреден код, например чрез генериране на операция в движение чрез свързване на няколко низа и след това изпълнение на получения низ чрез извикване на eval. Позицията на Mozilla слиза надолу Причината е, че повечето автори на злонамерени добавки са мързеливи и няма да прибягнат до подобни техники, за да скрият злонамерена дейност.

Допълнение: Mozilla Developers сообщили относно началото на тестването на корекцията, която, ако бъде тествана успешно, скоро ще бъде съобщена на потребителите (решението за прилагане на предложената корекция все още не е взето). Генерирането на цифров подпис за нови добавки е деактивирано, докато корекцията не бъде приложена.

Източник: opennet.ru