Das Unternehmen Mozilla vor dem Auftreten massenhafter Probleme mit Firefox-Erweiterungen. Bei allen Benutzern des Browsers wurden die Erweiterungen aufgrund des Ablaufs der Lebensdauer des Zertifikats, das zur Erstellung digitaler Signaturen verwendet wird, blockiert. Zudem wird die Unfähigkeit zur Installation neuer Erweiterungen aus dem offiziellen Katalog festgestellt. (addons.mozilla.org).
Eine Lösung für die entstandene Situation wurde bisher , die Entwickler von Mozilla denken über mögliche Korrekturen nach und haben sich bislang nur mit einer allgemeinen Bestätigung der aufgetretenen Situation begnügt. Es wird nur erwähnt, dass die Erweiterungen nach 0 Uhr (UTC) am 4. Mai inaktiv wurden. Das Zertifikat sollte vor einer Woche erneuert werden, aber aus irgendwelchen Gründen ist dies nicht geschehen, und dieser Umstand blieb unbemerkt. Jetzt wird einige Minuten nach dem Start des Browsers eine Warnung über die Deaktivierung der Erweiterungen aufgrund von Problemen mit der digitalen Signatur angezeigt, und die Erweiterungen verschwinden aus der Liste. Die Überprüfung der digitalen Signaturen erfolgt einmal täglich oder nach dem Start des Browsers, weshalb in länger geöffneten Instanzen von Firefox die Erweiterungen möglicherweise nicht sofort deaktiviert werden.
Als Umgehungslösung zur Wiederherstellung des Zugriffs auf Erweiterungen können Linux-Benutzer die Überprüfung der digitalen Signatur deaktivieren, indem sie die Variable „xpinstall.signatures.required“ in about:config auf „false“ setzen. Diese Methode funktioniert nur in Linux und Android für stabile und Beta-Versionen; in Windows und macOS ist eine solche Manipulation nur in Nightly-Builds und in der Entwicklerausgabe (Developer Edition) möglich. Alternativ kann auch die Systemuhrzeit auf einen Zeitpunkt vor dem Ablauf des Zertifikats geändert werden, sodass die Möglichkeit zur Installation von Erweiterungen aus dem AMO-Katalog zurückkehrt, jedoch wird die bereits festgelegte Deaktivierung nicht rückgängig gemacht.
Zur Erinnerung: Die obligatorische Überprüfung der Firefox-Erweiterungen anhand digitaler Signaturen wurde im April 2016. Nach Meinung von Mozilla ermöglicht die Überprüfung anhand digitaler Signaturen die Blockierung der Verbreitung von Malware und spionierenden Erweiterungen. Einige Entwickler von Erweiterungen Mit dieser Position wird auch angenommen, dass der Mechanismus der verpflichtenden Überprüfung durch digitale Signaturen lediglich Schwierigkeiten für Entwickler schafft und die Zeit bis zur Bereitstellung von Korrekturen für die Nutzer verlängert, ohne die Sicherheit zu beeinflussen. Es gibt viele triviale und offensichtliche zum Umgehen des Systems automatisierter Überprüfungen von Add-ons, die das heimliche Einfügen von schädlichem Code ermöglichen, beispielsweise durch die dynamische Bildung von Operationen durch das Zusammenfügen mehrerer Zeilen und anschließende Ausführung der resultierenden Zeile mit eval. Die Position von Mozilla dass die meisten Autoren schädlicher Add-ons faul sind und nicht auf solche Techniken zur Tarnung ihrer schädlichen Aktivitäten zurückgreifen werden.
Zusatzinformation: Die Entwickler von Mozilla haben mitgeteilt, dass Tests für eine Korrektur beginnen, die bei erfolgreicher Überprüfung bald den Nutzern zur Verfügung gestellt wird (eine Entscheidung über die Anwendung des vorgeschlagenen Patches ist noch nicht getroffen worden). Bis zur Anwendung des Patches wurde die Erstellung digitaler Signaturen für neue Add-ons deaktiviert.
Quelle: opennet.ru
