Spoločnosť Mozilla o vzniku masových problémov s doplnkami pre Firefox. U všetkých používateľov prehliadača sa doplnky ukázali ako zablokované kvôli vypršaniu platnosti certifikátu použitého na generovanie digitálnych podpisov. Okrem toho sa uvádza, že nie je možné nainštalovať nové doplnky z oficiálneho katalógu (addons.mozilla.org).
Zatiaľ neexistuje , vývojári Mozilla zvažujú možné opravy a aktuálne sa obmedzili na všeobecné potvrdenie vzniknutej situácie. Uvádza sa, že doplnky sa stali neaktívnymi po 0:00 (UTC) 4. mája. Certifikát mal byť obnovený pred týždňom, no z nejakého dôvodu sa tak nestalo a táto skutočnosť zostala bez povšimnutia. Teraz sa niekoľko minút po spustení prehliadača zobrazuje varovanie o vypnutí doplnkov z dôvodu problémov s digitálnym podpisom a doplnky miznú zo zoznamu. Kontrola digitálneho podpisu sa vykonáva raz za deň alebo po spustení prehliadača, takže v dlhodobo spustených inštanciách Firefoxu sa doplnky môžu deaktivovať nie hneď.
Ako obchádzajúce opatrenie na obnovenie prístupu k doplnkom môžu používatelia Linuxu vypnúť kontrolu digitálneho podpisu cez nastavenie v about:config premennej „xpinstall.signatures.required“ na hodnotu „false“. Táto metóda pre stabilné a beta verzie funguje len v Linuxe a Android, pre Windows a macOS je podobná manipulácia možná len v nočných zostaveniach a vo verzii pre vývojárov (Developer Edition). Ako alternatívu je tiež možné zmeniť hodnotu systémových hodín na čas pred vypršaním platnosti certifikátu, čím sa obnoví možnosť inštalácie doplnkov z katalógu AMO, avšak už nainštalovaná značka deaktivovania zostáva.
Pripomíname, že povinná kontrola doplnkov Firefoxu cez digitálne podpisy bola v apríli 2016. Podľa názoru Mozilla kontrola cez digitálny podpis umožňuje blokovať šírenie škodlivých a špehujúcich doplnkov. Niektorí vývojári doplnkov S touto pozíciou sa domnievajú, že mechanizmus povinnej kontroly pomocou digitálneho podpisu iba vytvára komplikácie pre vývojárov a zvyšuje čas potrebný na doručenie opravných verzií používateľom, bez toho, aby to malo vplyv na bezpečnosť. Existuje množstvo triviálnych a zrejmých na obídenie systému automatizovanej kontroly rozšírení, ktoré umožňujú nenápadne vložiť škodlivý kód, napríklad prostredníctvom vytvárania operácií za behu spojením niekoľkých riadkov a následným vykonaním výsledného riadku pomocou funkcie eval. Postoj Mozilly na to, že väčšina autorov škodlivých rozšírení je lenivá a nebudú používať takéto techniky na skrývanie škodlivej aktivity.
Doplnok: Vývojári Mozilly o začiatku testovania opravy, ktorá, ak bude úspešne overená, čoskoro dôjde k používateľom (rozhodnutie o aplikácii navrhovanej opravy ešte nebolo prijaté). Pred aplikovaním opravy je vytváranie digitálnych podpisov pre nové rozšírenia vypnuté.
Zdroj: opennet.ru
