A Mozilla vállalat a tömeges megjelenés miatt a Firefox bővítményeivel. Minden felhasználói böngésző bővítményeit letiltották a digitális aláírások képzésére használt tanúsítvány élettartamának lejárta miatt. Ezen kívül megemlítik, hogy új bővítmények telepítése a hivatalos katalogusból nem lehetséges. (addons.mozilla.org).
A kialakult helyzetre eddig , a Mozilla fejlesztői mérlegelik a lehetséges javítási lehetőségeket, és eddig csak egy általános megerősítést adtak a kialakult helyzetről. Csak annyit említenek, hogy a bővítmények inaktívvá váltak 2023. május 4-én, 0 óra (UTC) után. A tanúsítványt egy héttel ezelőtt meg kellett volna újítani, de valamilyen okból ez nem történt meg, és ezt a tényt figyelmen kívül hagyták. Most néhány perccel a böngésző indítása után figyelmeztetés jelenik meg a bővítmények letiltásáról a digitális aláírási problémák miatt, és a bővítmények eltűnnek a listából. A digitális aláírás ellenőrzése naponta egyszer vagy a böngésző indítása után történik, ezért a régen megnyitott Firefox példányokban a bővítmények nem azonnal kapcsolódnak le.
A bővítményekhez való hozzáférés visszaállításának alternatívájaként a Linux felhasználói letilthatják a digitális aláírás ellenőrzését az "about:config" beállításnál az "xpinstall.signatures.required" változó "false" értékre állításával. Ez a módszer stabil és bétaverziók esetén csak Linuxon és Androidon működik, Windows és macOS esetén hasonló manipuláció csak az éjszakai build-ekben és a fejlesztői kiadásban (Developer Edition) lehetséges. Alternatív lehetőségként a rendszeridő módosítása a tanúsítvány lejárta előtti időpontra is lehetséges, ez lehetővé teszi bővítmények telepítését az AMO katalogusból, de a már telepített letiltási jelzés nem törlődik.
Emlékeztetünk arra, hogy a Firefox bővítmények digitális aláírással történő kötelező ellenőrzése A Mozilla véleménye szerint a digitális aláírás ellenőrzése lehetővé teszi a káros és felhasználókat kémkedő bővítmények elterjedésének blokkolását. Néhány bővítményfejlesztő Ezzel a megközelítéssel azt állítják, hogy a kötelező digitális aláírás-ellenőrzési mechanizmus csak nehézségeket teremt a fejlesztők számára, és megnöveli a javító kiadások felhasználókhoz való eljuttatásának idejét, anélkül, hogy bármilyen módon befolyásolná a biztonságot. Számos triviális és nyilvánvaló mód létezik az automatikus kiegészítő ellenőrzési rendszer, amely lehetővé teszi a rosszindulatú kód észrevétlen beillesztését, például azáltal, hogy a műveletet menet közben több sor összekapcsolásával hozza létre, majd a kimeneti sort az eval hívásával hajtja végre. A Mozilla álláspontja hogy a rosszindulatú kiegészítők többségének szerzői lusták és nem fognak ilyen rejtett tevékenységeket folytatni.
Kiegészítés: A Mozilla fejlesztői bejelentették, hogy kezdenek tesztelni egy javítást, amely, ha sikeresen ellenőrzésre kerül, hamarosan a felhasználókhoz jut el (a javasolt javítás alkalmazásáról még nem született döntés). A javítás közvetlen alkalmazása előtt az új kiegészítők digitális aláírásainak létrehozása le van tiltva.
Forrás: opennet.ru
