Společnost Mozilla o vzniku masových s doplňky k Firefoxu. U všech uživatelů prohlížeče byly doplňky zablokovány z důvodu vypršení platnosti certifikátu použitým pro vytváření digitálních podpisů. Kromě toho je znemožněna instalace nových doplňků z oficiálního katalogu (addons.mozilla.org).
Východisko z nastalé situace zatím , vývojáři Mozilly zvažují možné varianty opravy a zatím se omezili pouze na obecné potvrzení nastalé situace. Zmiňuje se pouze, že doplňky se staly neaktivními po uplynutí 0 hodin (UTC) 4. května. Certifikát měl být aktualizován před týdnem, ale z nějakého důvodu se tak nestalo a tento fakt zůstal nenápadný. Nyní se několik minut po spuštění prohlížeče zobrazuje varování o vypnutí doplňků kvůli problémům s digitálním podpisem a doplňky zmizí ze seznamu. Kontrola digitálního podpisu se provádí jednou denně nebo po spuštění prohlížeče, takže u dlouho spuštěných instancí Firefoxu se doplňky nemusí okamžitě vypnout.
Jako obchozí cestu pro obnovení přístupu k doplňkům mohou uživatelé Linuxu vypnout kontrolu digitálního podpisu nastavením v about:config proměnné „xpinstall.signatures.required“ na hodnotu „false“. Tento způsob pro stabilní a beta verze funguje pouze v Linuxu a Androidu, pro Windows a macOS je podobná manipulace možná pouze v nočních verzích a v edici pro vývojáře (Developer Edition). Jako možnost lze také změnit hodnotu systémového času na čas před vypršením platnosti certifikátu, pak se vrátí možnost instalace doplňků z katalogu AMO, ale již nainstalovaná značka vypnutí se neodstraní.
Připomeňme, že povinná kontrola doplňků Firefoxu podle digitálních podpisů byla v dubnu 2016. Podle názoru Mozilly umožňuje kontrola podle digitálních podpisů blokovat šíření škodlivých a špehovacích doplňků. Někteří vývojáři doplňků s tímto postojem se domnívají, že mechanismus povinné kontroly prostřednictvím digitálního podpisu vytváří pouze komplikace pro vývojáře a prodlužuje čas uvedení oprav na trh, aniž by to nějak ovlivnilo bezpečnost. Existuje mnoho triviálních a zřejmých pro obcházení automatizovaného systému kontroly doplňků, které umožňují nenápadně vložit škodlivý kód, například vytvořením operace za běhu spojením několika řetězců a následným provedením výsledného řetězce pomocí eval. Postoj Mozilla do toho, že většina autorů škodlivých doplňků je lenivá a nebude používat podobné techniky skrývání škodlivých aktivit.
Doplněk: Vývojáři Mozilla o zahájení testování opravy, která, pokud bude úspěšně ověřena, bude brzy předána uživatelům (rozhodnutí o použití navrhované opravy ještě nebylo přijato). Před aplikací opravy je vytváření digitálních podpisů pro nové doplňky vypnuto.
Zdroj: opennet.ru
