Mozilla証明書の有効期限が切れたため、Firefoxアドオンが無効になっています

最近 Mozillaは、アドオンに関する大規模な問題について警告する声明を発表しました Firefox用。 まあ、数時間のうちに、多くのユーザーはブラウザのアドオンがブロックされていることに気づき始めました。

それの訳は Mozillaがその声明で説明しているように デジタル署名の生成に使用される証明書の有効期限が切れたとき。 さらに、公式AMOカタログから新しいアドオンをインストールすることは不可能です（addons.mozilla.org).

発生した大きな問題に直面して、 Mozilla開発者は、考えられる解決策を検討し始めましたsおよびこれまでのところ、状況の一般的な確認に限定されていました。

言及されているのは プラグインは、0月4日のXNUMX時間（UTC）の開始後に非アクティブになりました。 証明書はXNUMX週間前に更新されているはずですが、何らかの理由でこれは行われず、この事実は見過ごされていました。

さて、ブラウザが起動してから数分後、 プラグインの無効化に関する警告が表示されます デジタル署名の問題により、アドオンはリストから消えます。

デジタル署名はXNUMX日XNUMX回、またはブラウザの起動後に検証されるため、長期間有効なFirefoxインスタンスでアドオンをすぐに無効にすることはできません。

Mozilla証明書が必要なのはなぜですか？

この問題はすべて、 必須のプラグイン検証 デジタル署名を使用するFirefox 2016年XNUMX月に導入されました。

Mozillaによると、 チェック デジタル署名 悪意のあるアドオンやスパイウェアの配布をブロックできます。

一部のプラグイン開発者はこの立場に同意せず、必須のデジタル署名検証メカニズムは開発者に困難をもたらすだけであり、セキュリティに影響を与えることなくユーザーへの修正バージョンの通信時間を増加させると考えています。

自動プラグインチェックシステムをバイパスするための簡単で明白なテクニックはたくさんあります。これにより、悪意のあるコードを挿入する悪意のある人物をシームレスに挿入できます。たとえば、複数の回線を接続してその回線を実行することでオンザフライ操作を実行します。 evalを呼び出します。

それでも、Mozillaの立場は、ほとんどの悪意のあるアドオンの作成者が怠惰であり、悪意のある活動を隠すために同様の手法に頼らないという事実に帰着します。

可能な解決策？

アドオンへのアクセスを更新するための回避策として Linuxユーザーこれらの デジタル署名の検証を無効にできます 変数の設定 "Xpinstall.signatures.required」で 約：config 'にfalse"

安定版とベータ版のこの方法は、LinuxとAndroidでのみ機能します。 パラ WindowsおよびmacOS、そのような操作 Firefoxの夜間バージョンでのみ可能です および開発者向けバージョン（Developer Edition）。

または、 証明書の有効期限が切れる前に、システムクロックの値を変更することもできます。 その後、AMOカタログからプラグインをインストールするオプションが返されますが、すでに設定されている切断タグは削除されません。

Mozillaレポート追跡に関するレポート

問題が発生した期間中に、Mozilla開発者は、多くのテストのXNUMXつを開始することを発表しました。このテストでは、検証に成功した場合、すぐにユーザーに通知される可能性のある解決策になる可能性があります（適用の決定提案された解決策はまだ作成されていません）。

修正が適用されるまで、新しいアドインのデジタル署名の生成は無効になります。

---

13:50（MSK）に、無効にされたプラグインを返すユーザー側で、ソリューションの配布が開始されました。 ソリューションは、アップデート配信システムを介して自動的にダウンロードされ、数時間以内に適用されます。

---

パッチの配信を高速化するために、これをアクティブ化するためにユーザー間で実行される「調査」としても設計されています。ユーザーは「Firefoxの設定->プライバシーとセキュリティ-> Firefoxのインストールと実行を許可する」セクションに移動する必要があります。スタディ」（「Firefoxの設定->プライバシーとセキュリティ-> Firefoxにスタディのインストールと実行を許可する」）。