A empresa Mozilla sobre o surgimento em massa de com extensões do Firefox. Todos os usuários do navegador tiveram suas extensões bloqueadas devido à expiração do certificado utilizado para a formação de assinaturas digitais. Além disso, observa-se a impossibilidade de instalar novas extensões do catálogo oficial (addons.mozilla.org).
A saída para essa situação ainda , os desenvolvedores da Mozilla estão considerando opções de correção e até agora se restringiram a uma confirmação geral da situação. É mencionado apenas que as extensões tornaram-se inativas após as 0 horas (UTC) do dia 4 de maio. O certificado deveria ter sido renovado uma semana atrás, mas por alguma razão isso não ocorreu e esse fato passou despercebido. Agora, alguns minutos após iniciar o navegador, uma mensagem de alerta sobre a desativação das extensões devido a problemas com a assinatura digital aparece e as extensões desaparecem da lista. A verificação da assinatura digital é realizada uma vez por dia ou após o lançamento do navegador, portanto, em instâncias do Firefox que estão em execução há muito tempo, as extensões podem ser desativadas não imediatamente.
Como uma solução alternativa para restaurar o acesso às extensões, usuários do Linux podem desativar a verificação da assinatura digital configurando na aba about:config a variável "xpinstall.signatures.required" para "false". Este método para versões estáveis e beta funciona apenas no Linux e Android; para Windows e macOS, essa manipulação é possível apenas em compilações noturnas e na versão para desenvolvedores (Developer Edition). Como alternativa, também é possível alterar o valor do relógio do sistema para um tempo anterior à expiração do certificado, então será possível instalar extensões do catálogo AMO, mas o rótulo de desativação já instalado não será removido.
Lembramos que a verificação obrigatória das extensões do Firefox por assinaturas digitais foi em abril de 2016. Na opinião da Mozilla, a verificação por assinatura digital permite bloquear a disseminação de extensões maliciosas e de espionagem dos usuários. Alguns desenvolvedores de extensões Com essa posição, acredita-se que o mecanismo de verificação obrigatória por assinatura digital apenas cria dificuldades para os desenvolvedores e leva a um aumento no tempo de disponibilização de lançamentos corretivos aos usuários, sem impactar a segurança. Existem muitos métodos triviais e óbvios do sistema de verificação automatizada de complementos, permitindo a inserção discreta de código malicioso, por exemplo, através da formação de operações em tempo real unindo várias strings para execução da string resultante com a chamada eval. A posição da Mozilla no fato de que a maioria dos autores de complementos maliciosos é preguiçosa e não recorrerá a tais técnicas de ocultação de atividades maliciosas.
Nota: Os desenvolvedores da Mozilla sobre o início dos testes de uma correção que, se validada com sucesso, será rapidamente disponibilizada aos usuários (a decisão sobre a aplicação da correção proposta ainda não foi tomada). Até que a correção seja aplicada, a formação de assinaturas digitais para novos complementos está desativada.
Fonte: opennet.ru
