Të gjitha shtesat për Firefox janë çaktivizuar për shkak të skadimit të certifikatës Mozilla

Kompania Mozilla ka paralajmëruar rreth shfaqjes së masave problemi me shtesat për Firefox. Të gjithë përdoruesit e shfletuesit kishin bllokuar shtesat për shkak të skadimit të certifikatës e cila përdorej për të formuar nënshkrime digjitale. Gjithashtu, është raportuar pamundësia për të instaluar shtesa të reja nga katalogu zyrtar AMO (addons.mozilla.org).

Zgjidhja e situatës që ka lindur deri tani nuk është gjetur, zhvilluesit e Mozilla po shqyrtojnë mundësitë për korrigjim dhe deri tani janë kufizuar vetëm në një konfirmim të përgjithshëm të situatës. Përdoruesit përmendin se shtesat u bënë joaktive pas kalimit të orës 0 (UTC) më 4 maj. Certifikata duhej të ishte rinovuar një javë më parë, por për disa arsye kjo nuk ndodhi dhe ky fakt mbeti i pasehuri. Tani pas disa minutash pas hapjes së shfletuesit shfaqet një paralajmërim për shkyçjen e shtesave për shkak të problemeve me nënshkrimin digjital dhe shtesat zhduken nga lista. Verifikimi i nënshkrimit digjital bëhet një herë në ditë ose pas hapjes së shfletuesit, prandaj në instancat që janë hapur për një kohë të gjatë, shtesat mund të çaktivizohen menjëherë.

Si një zgjidhje për t'u rikthyer te shtesat, përdoruesit e Linux mund të çaktivizojnë verifikimin e nënshkrimit digjital duke vendosur në about:config variablën "xpinstall.signatures.required" në vlerën "false". Kjo metodë funksionon vetëm për versionet stabile dhe beta në Linux dhe Android; për Windows dhe macOS, një manovrim i tillë është i mundur vetëm në ndërtimet e natës dhe në versionin për zhvillues (Developer Edition). Një alternativë gjithashtu është të ndryshohet vlera e orës së sistemit në një kohë para skadimit të certifikatës, atëherë do të rikthehet mundësia për të instaluar shtesa nga katalogu AMO, por tashmë e vendosur marka e çaktivizimit nuk do të hiqet.

Kujtojmë se verifikimi i detyrueshëm i shtesave të Firefox-it për nënshkrimet digjitale u implementua në prill 2016. Sipas mendimit të Mozilla, verifikimi përmes nënshkrimit digjital lejon bllokimin e shpërndarjes së shtesave keqdashëse dhe ato që spiunojnë përdoruesit. Disa zhvillues shtesash nuk bien dakord me një qëndrim të tillë dhe mendojnë se mekanizmi i kontrollit të detyrueshëm përmes nënshkrimit digjital krijon vetëm vështirësi për zhvilluesit dhe çon në rritjen e kohës së transmetimit të korrigjimeve tek përdoruesit, pa ndikuar në siguri. Ekzistojnë shumë metoda triviale dhe të dukshme për të kaluar sistemin e verifikimit automatizuar të shtesave, që lejojnë futjen e heshtur të kodit të dëmshëm, për shembull, përmes formimit të operacioneve në fluks duke bashkuar disa vargje dhe më pas duke e ekzekutuar vargun rezultues duke thirrur eval. Qëndrimi i Mozilla përmblidhet në faktin se shumica e autorëve të shtesave të dëmshme janë lenë dhe nuk do të përdorin teknika të tilla për tëfshehur aktivitetin e dëmshëm. Shtesë: Zhvilluesit e Mozilla

e filluan testimin e një korrigjimi, i cili, në rast të një verifikimi të suksesshëm, do të shpërndahet për përdoruesit në një të ardhme të afërt (vendimi për aplikimin e korrigjimit të propozuar ende nuk është marrë). Deri në implementimin e korrigjimit, formimi i nënshkrimeve digjitale për shtesat e reja është çaktivizuar. njoftuan Kompania Mozilla njoftoi për shfaqjen e një masivi.

Burimi: opennet.ru