Të gjitha shtesat për Firefox janë çaktivizuar për shkak të skadimit të certifikatës Mozilla

Kompania Mozilla paralajmëroi për shfaqjen masive të problemeve me shtesa për Firefox. Të gjithë përdoruesit e shfletuesit hasën probleme me bllokimin e shtesave për shkak të skadimit të kohës së jetës së certifikatës, e cila përdoret për të formuar nënshkrime digjitale. Për më tepër, është përmendur pamundësia për të instaluar shtesa të reja nga katalogu zyrtar AMO (addons.mozilla.org).

Zgjidhja për situatën e krijuar deri tani nuk është gjetur, zhvilluesit e Mozilla po mendojnë për mundësi zgjidhjeje dhe deri tani kanë konfirmuar vetëm situatën e shfaqur. Vetëm se është përmendur se shtesat janë bërë inaktive pas arritjes së orës 0 (UTC) më 4 maj. Certifikata duhej të ishte rinovuar një javë më parë, por për disa arsye kjo nuk ndodhi dhe ky fakt mbeti i paqartë. Tani, disa minuta pasi të fillohet shfletuesi, shfaqet një paralajmërim për çaktivizimin e shtesave për shkak të problemeve me nënshkrimin digjital dhe shtesat zhduken nga lista. Kontrolli i nënshkrimit digjital kryhet një herë në ditë ose pas nisjes së shfletuesit, kështu që në instancat e Firefox-it që janë nisur prej kohësh, shtesat mund të çaktivizohen jo menjëherë.

Si një zgjidhje për rinovimin e aksesit në shtesa, përdoruesit e Linux mund të çaktivizojnë verifikimin e nënshkrimit digjital duke vendosur në about:config variablën "xpinstall.signatures.required" në vlerën "false". Kjo metodë funksionon vetëm në Linux dhe Android për versionet stabile dhe beta; për Windows dhe macOS një manipulim i tillë është i mundur vetëm në ndërtimet e natës dhe në versionin për zhvillues (Developer Edition). Si një alternativë, gjithashtu mund të ndryshoni vlerën e orës sistemike në një kohë para skadencës së certifikatës, duke rikthyer mundësinë për të instaluar shtesa nga katalogu AMO, por pala e instaluar e çaktivizimit nuk do të hiqet.

Kujtojmë se verifikimi i detyrueshëm i shtesave të Firefox nëpërmjet nënshkrimeve digjitale u prezantua në prill 2016. Sipas mendimit të Mozilla, verifikimi përmes nënshkrimit digjital parandalon përhapjen e shtesave që bëjnë dëm dhe spiunojnë përdoruesit. Disa zhvillues shtesash nuk bien dakord ata pozita dhe besojnë se mekanizmi i verifikimit të detyrueshëm me nënshkrim digjital krijon vetëm vështirësi për zhvilluesit dhe rrit kohën e përgatitjes së lëshimeve korrigjuese për përdoruesit, pa ndikuar fare në siguri. Ekzistojnë shumë mjete triviale dhe të dukshme për të anashkaluar sistemin e verifikimit automatizuar të shtesave, që lejojnë të futet pa u vënë re kod i dëmshëm, për shembull, përmes formimit të operacionit në kohë reale duke lidhur disa rreshta dhe më pas duke e ekzekutuar rreshtin e rezultuar me thirrje eval. Pozita e Mozilla përqendrohet në atë se shumica e autorëve të shtesave të dëmshme janë të lenë dhe nuk do të përdorin teknika të tilla për të fshehur aktivitetin e dëmshëm. Shtesë: Zhvilluesit e Mozilla

për fillimin e testimit të korrigjimit, i cili, nëse kalon me sukses verifikimin, do të publikohet së shpejti për përdoruesit (vendimi për aplikuar korrigjimin e propozuar ende nuk është marrë). Deri në aplikimin e korrigjimit, formimi i nënshkrimeve digjitale për shtesat e reja është çaktivizuar. njoftuan për fillimin e testimit të një rregullimi, i cili, nëse verifikohet me sukses, së shpejti do të dërgohet te përdoruesit (vendimi për të aplikuar rregullimin e propozuar nuk është marrë ende). Deri në aplikimin e rregullimit, formimi i nënshkrimeve digjitale për shtesa të reja është çaktivizuar.

Burimi: opennet.ru