Mozilla over het ontstaan van massale met aanvullingen op Firefox. Alle gebruikers van de browser hebben problemen ondervonden omdat de levensduur van het certificaat dat wordt gebruikt voor digitale handtekeningen is verlopen. Daarnaast is er gemeld dat het onmogelijk is om nieuwe aanvullingen uit de officiële catalogus te installeren. (addons.mozilla.org).
Er is nog geen oplossing gevonden voor de huidige situatie , ontwikkelaars van Mozilla overwegen mogelijke oplossingen en hebben zich voorlopig beperkt tot een algemene bevestiging van de ontstane situatie. Het wordt alleen vermeld dat aanvullingen inactief zijn geworden na 0:00 uur (UTC) op 4 mei. Het certificaat had een week geleden vernieuwd moeten worden, maar om onbekende redenen is dit niet gebeurd en is deze situatie ongemerkt gebleven. Nu verschijnt er een waarschuwing over het uitschakelen van aanvullingen vanwege problemen met digitale handtekeningen enkele minuten na het starten van de browser, en de aanvullingen verdwijnen uit de lijst. De digitale handtekening wordt dagelijks of na het starten van de browser gecontroleerd, daarom kunnen aanvullingen in lange tijdsperioden van Firefox pas later worden uitgeschakeld.
Als een omweg om weer toegang tot de aanvullingen te krijgen, kunnen Linux-gebruikers de controle op digitale handtekeningen uitschakelen door de variabele „xpinstall.signatures.required“ in about:config op „false“ in te stellen. Deze methode werkt voor stabiele en beta-versies alleen op Linux en Android, voor Windows en macOS is dergelijke manipulatie alleen mogelijk in nachtbouwwerken en in de ontwikkelaarsversie (Developer Edition). Als alternatief kan ook de systeemklok worden teruggezet naar een tijd vóór het verstrijken van de certificaatduur, waardoor het weer mogelijk wordt om aanvullingen uit de AMO-catalogus te installeren, maar de al geïnstalleerde uitschakelingsmarkering wordt dan niet teruggedraaid.
Ter herinnering, de verplichte controle van aanvullingen op digitale handtekeningen in Firefox was in april 2016. Volgens Mozilla stelt de controle op digitale handtekening in staat om de verspreiding van kwaadaardige en spionerende aanvullingen tegen te gaan. Sommige ontwikkelaars van aanvullingen Met deze positie wordt aangenomen dat het mechanisme voor verplichte controle via digitale handtekeningen alleen maar complicaties voor ontwikkelaars creëert en leidt tot een langere tijd voor de distributie van corrigerende uitgaven aan gebruikers, zonder daadwerkelijk invloed op de veiligheid te hebben. Er zijn talloze triviale en voor de hand liggende om het systeem voor geautomatiseerde controle van extensies te omzeilen, waardoor schadelijke code onopgemerkt kan worden ingevoegd, bijvoorbeeld door het ter plaatse genereren van een operatie door het samenvoegen van meerdere lijnen en het vervolgens uitvoeren van de resulterende lijn met behulp van eval. De positie van Mozilla tot het feit dat de meeste auteurs van schadelijke extensies lui zijn en niet dergelijke technieken voor het verbergen van schadelijke activiteiten zullen gebruiken.
Aanvulling: De ontwikkelaars van Mozilla over de start van het testen van een oplossing die, indien succesvol gevalideerd, binnenkort aan gebruikers zal worden geleverd (de beslissing om het voorgestelde herstel toe te passen is nog niet genomen). Tot het toepassen van de oplossing is de generatie van digitale handtekeningen voor nieuwe extensies uitgeschakeld.
Bron: opennet.ru
