כל התוספות ל-Firefox מושבתות עקב תפוגה של תעודת Mozilla

חברת מוזילה הזהיר על הופעת המסה проблем עם תוספות עבור Firefox. עבור כל משתמשי הדפדפן, התוספות נחסמו עקב פקיעת התוקף של האישור המשמש ליצירת חתימות דיגיטליות. בנוסף, יצוין כי לא ניתן להתקין תוספים חדשים מהקטלוג הרשמי AMO (addons.mozilla.org).

הדרך לצאת מהמצב הזה לעת עתה לא נמצא, מפתחי מוזילה שוקלים תיקונים אפשריים ועד כה הגבילו את עצמם לאישור כללי בלבד של המצב. מוזכר רק שהתוספות הפכו ללא פעילות לאחר 0 שעות (UTC) ב-4 במאי. התעודה הייתה אמורה להתחדש לפני שבוע, אך משום מה זה לא קרה ועובדה זו נעלמה מעיניו. כעת, מספר דקות לאחר הפעלת הדפדפן, מוצגת אזהרה על השבתת תוספים עקב בעיות בחתימה הדיגיטלית, ותוספות נעלמות מהרשימה. החתימה הדיגיטלית נבדקת פעם ביום או לאחר הפעלת הדפדפן, כך שבמקרים ארוכי טווח של פיירפוקס, ייתכן שהרחבות לא יושבתו מיד.

כפתרון עוקף לשחזור גישה לתוספות עבור משתמשי לינוקס, אתה יכול להשבית את אימות החתימה הדיגיטלית על ידי הגדרת המשתנה "xpinstall.signatures.required" ל-"false" ב- about:config. שיטה זו עבור מהדורות יציבות וביטא עובדת רק על לינוקס ואנדרואיד; עבור Windows ו-macOS, מניפולציה כזו אפשרית רק בבנייה לילית ובמהדורת המפתחים. כאופציה, ניתן גם לשנות את הערך של שעון המערכת לזמן שלפני פג תוקפו של התעודה, ואז תחזור האפשרות להתקין תוספים מקטלוג AMO, אך דגל ה-disable כבר מותקן לא יוסר.

נזכיר לך שאימות חובה של תוספות Firefox באמצעות חתימות דיגיטליות היה מוטמע באפריל 2016. לפי מוזילה, אימות חתימה דיגיטלית מאפשר לך לחסום את התפשטותם של תוספות זדוניות שמרגלות אחרי משתמשים. כמה מפתחי תוספים לא מסכים עם עמדה זו, הם מאמינים שמנגנון אימות חובה באמצעות חתימה דיגיטלית רק יוצר קשיים עבור המפתחים ומוביל להגדלת הזמן שלוקח להביא מהדורות מתקנות למשתמשים, מבלי להשפיע על האבטחה בשום צורה. יש הרבה טריוויאליים ומובנים מאליהם קבלות פנים לעקוף את הבדיקה האוטומטית של תוספות המאפשרות הכנסת קוד זדוני ללא תשומת לב, למשל, על ידי יצירת פעולה תוך כדי תנועה על ידי שרשור של מספר מחרוזות ולאחר מכן ביצוע המחרוזת המתקבלת על ידי קריאת eval. העמדה של מוזילה יורד הסיבה היא שרוב המחברים של תוספות זדוניות עצלנים ולא יפנו לטכניקות כאלה כדי להסתיר פעילות זדונית.

תוספת: מפתחי מוזילה сообщили על תחילת בדיקת התיקון, שאם נבדק בהצלחה, יועבר בקרוב למשתמשים (ההחלטה על החלת התיקון המוצע טרם התקבלה). יצירת חתימה דיגיטלית עבור תוספות חדשות מושבתת עד ליישום התיקון.

מקור: OpenNet.ru