Tutti gli add-on di Firefox sono disabilitati a causa della scadenza del certificato Mozilla

L'azienda Mozilla ha avvertito sulla comparsa di un problema di massa di problemi con gli add-on di Firefox. Tutti gli utenti del browser hanno visto i loro add-on bloccati a causa della scadenza del certificato utilizzato per generare le firme digitali. Inoltre, si segnala l'impossibilità di installare nuovi add-on dal catalogo ufficiale AMO (addons.mozilla.org).

Finora non è stata trovata una soluzione per uscire da questa situazione, gli sviluppatori di Mozilla stanno valutando possibili opzioni di correzione e si sono limitati a una conferma generale del problema. Si menziona solo che gli add-on sono diventati inattivi a partire dalle 0:00 (UTC) del 4 maggio. Il certificato avrebbe dovuto essere aggiornato una settimana fa, ma per qualche motivo questo non è avvenuto e il fatto è passato inosservato. Ora, dopo pochi minuti dall'avvio del browser, appare un avviso sulla disattivazione degli add-on a causa di problemi con la firma digitale e gli add-on scompaiono dall'elenco. Il controllo della firma digitale avviene una volta al giorno o dopo l'avvio del browser, pertanto in versioni di Firefox avviate da tempo, gli add-on potrebbero disattivarsi non immediatamente.

Come soluzione alternativa per il ripristino dell'accesso alle estensioni, gli utenti Linux possono disabilitare il controllo della firma digitale impostando in about:config la variabile «xpinstall.signatures.required» su «false». Questo metodo funziona solo su Linux e Android per le versioni stabili e beta; per Windows e macOS, tale manipolazione è possibile solo nelle versioni notturne e nella Developer Edition. In alternativa, è possibile modificare l'orario di sistema a un momento antecedente la scadenza del certificato; ciò ripristinerà la possibilità di installare estensioni dal catalogo AMO, ma il flag di disattivazione già impostato non verrà rimosso.

Ricordiamo che il controllo obbligatorio delle estensioni di Firefox tramite firme digitali è stato introdotto nell'aprile 2016. Secondo Mozilla, il controllo delle firme digitali consente di bloccare la distribuzione di estensioni dannose e di spionaggio degli utenti. Alcuni sviluppatori di estensioni non sono d'accordo con questa posizione e ritengono che il meccanismo di verifica obbligatoria tramite firma digitale crei solo difficoltà per gli sviluppatori e porti a un aumento del tempo per fornire agli utenti le versioni correttive, senza influire sulla sicurezza. Esistono molte soluzioni banali e ovvie per aggirare il sistema di verifica automatizzata delle estensioni, consentendo di inserire silenziosamente codice dannoso, ad esempio, tramite la generazione di operazioni al volo unendo più righe e successivamente eseguendo la riga risultante con una chiamata a eval. La posizione di Mozilla si riduce al fatto che la maggior parte degli autori di estensioni dannose siano pigri e non ricorrono a tecniche simili per nascondere attività dannose. Nota: Gli sviluppatori di Mozilla

l'inizio del test di una correzione che, in caso di verifica positiva, sarà presto distribuita agli utenti (la decisione sull'applicazione della correzione proposta non è ancora stata presa). Fino all'applicazione della correzione, la generazione di firme digitali per nuove estensioni è disabilitata. hanno comunicato si informa che è in corso il test di una correzione, che sarà presto resa disponibile agli utenti in caso di verifica positiva (la decisione di applicare la correzione proposta non è stata ancora presa). Fino all’applicazione della correzione, la generazione di firme digitali per nuove estensioni è disabilitata.

Fonte: opennet.ru