Сите додатоци на Firefox се оневозможени поради истекување на сертификатот на Mozilla

Компанијата Мозила предупреди за појавата на маса проблеми со додатоци за Firefox. За сите корисници на прелистувачи, додатоците беа блокирани поради истекување на сертификатот што се користеше за генерирање дигитални потписи. Покрај тоа, се забележува дека е невозможно да се инсталираат нови додатоци од официјалниот каталог Amo (addons.mozilla.org).

Излезот од оваа ситуација засега не е пронајдена, програмерите на Mozilla размислуваат за можни поправки и досега се ограничија само на општа потврда на ситуацијата. Се споменува само дека додатоците станаа неактивни по 0 часа (UTC) на 4 мај. Сертификатот требаше да биде обновен пред една недела, но поради некоја причина тоа не се случи и овој факт остана незабележан. Сега, неколку минути по стартувањето на прелистувачот, се прикажува предупредување дека додатоците се оневозможени поради проблеми со дигиталниот потпис, а додатоците исчезнуваат од списокот. Дигиталниот потпис се проверува еднаш дневно или откако ќе се стартува прелистувачот, така што во долготрајните примери на Firefox, додатоците може да не се оневозможат веднаш.

Како решение за враќање на пристапот до додатоците за корисниците на Linux, можете да ја оневозможите проверката на дигитален потпис со поставување на променливата „xpinstall.signatures.required“ на „false“ во about:config. Овој метод за стабилни и бета изданија работи само на Linux и Android; за Windows и macOS, таквата манипулација е можна само во ноќните изданија и во изданието за програмери. Како опција, можете исто така да ја промените вредноста на системскиот часовник на времето пред истекот на сертификатот, а потоа ќе се врати можноста за инсталирање додатоци од каталогот AMO, но веќе инсталираното знаменце за оневозможување нема да се отстрани.

Да ве потсетиме дека беше задолжителна верификација на додатоците на Firefox со помош на дигитални потписи имплементирани во април 2016 година. Според Mozilla, проверката на дигитален потпис ви овозможува да го блокирате ширењето на малициозни додатоци кои ги шпионираат корисниците. Некои развивачи на додатоци не се согласуваат со оваа позиција, тие веруваат дека механизмот на задолжителна верификација со користење на дигитален потпис само создава потешкотии за програмерите и доведува до зголемување на времето потребно за да се донесат корективни изданија до корисниците, без да влијае на безбедноста на кој било начин. Има многу тривијални и очигледни приеми да се заобиколи автоматската проверка за додатоци кои овозможуваат незабележано вметнување на малициозен код, на пример, со генерирање на операција во лет со спојување на неколку жици и потоа извршување на добиената низа со повикување на eval. Позицијата на Mozilla се сведува на Причината е што повеќето автори на малициозни додатоци се мрзливи и нема да прибегнуваат кон такви техники за да ја сокријат злонамерната активност.

Додаток: Mozilla Developers сообщили за почетокот на тестирањето на поправката, која, доколку се тестира успешно, наскоро ќе им биде соопштена на корисниците (одлуката за примена на предложената поправка сè уште не е донесена). Генерирањето дигитален потпис за нови додатоци е оневозможено додека не се примени поправката.

Извор: opennet.ru