Mozilla annoncerede tilbage i begyndelsen af 2015, at det ville kræve Firefox add-ons til at være underskrevet, inden de kunne blive installeret i frigivelse og beta-versioner af web-browser.
Ideen bag var at gøre Firefox add-on landskab til et sikrere sted for brugerne ved at beskytte dem mod invasive eller decideret ondsindede add-ons (da disse vil enten ikke blive forelagt alle, eller, hvis de var blokeret af underskrivelsen scanner).
Det viser sig dog, at processen kan ikke være så effektive som Mozilla håbet det ville være. Dan Stillman, en udvikler, der arbejder på Zotero add-on til Firefox kritiseret Mozilla ‘ s add-on-signering planer stærkt i de seneste blog-indlæg.
Add-ons, der er ikke hostet på Mozilla ‘ s officielle add-on butik skal indgives, når de er opdateret, og de er underskrevet, hvis de passerer automatisk inspektion, eller har brug for at blive sendt til manuel gennemgang, hvis de ikke kan passere den automatiske test.
Disse anmeldelser tage op til syv uger for de foreløbige vurderinger, som betyder, at en ny version af Zotero kan ikke blive frigivet, mens du stadig er under revision, og det er ikke kun problematisk på grund af den tid mellem at indsende en udgivelse, og få det underskrevet, men også fordi det gør det umuligt for bygherren til at reagere hurtigt, når tiden er af afgørende betydning (tænk sikkerhed eller stabilitet fix).
Hvis der ikke ville være slemt nok, Stillman påpeger, at AMO validator script er ikke effektiv, som den kan blive omgået nemt.
Hvad dette betyder? Ondsindede add-ons vil blive underskrevet, hvis de passerer den automatiske validering, og da de ikke er gennemgået i dette tilfælde ved at Mozilla medarbejdere eller frivillige, der kan tilbydes på tredjeparts websteder eller via softwaren installatører, og vil installere fint i udgivelse Firefox eller beta af Firefox.
En hurtig proof of concept add-on var skabt til at bevise det punkt. Det overvåger HTTP(S) anmodninger om Basic Auth Legitimationsoplysninger, og poster dem på en HTTP-server. Det er endvidere kører en vilkårlig lokal proces, når en bestemt url-adresse er indlæst, og vil hente vilkårlig JavaScript-kode fra en ekstern server, og køre det med fuld privilegier, når en anden er, der er lagt i Firefox.
Mozilla ‘ s svar? I henhold til Stillman, Mozilla Add-ons Udvikler Relationer Føre erklærede, at “de fleste malware-forfattere er doven”, og at den scanner vil “blokere de fleste af malware”.
Det var tilbage i februar, og intet synes at have ændret sig i denne forbindelse, da. Mozilla har dog tilføje proof of concept-add-on til Firefox blokeringslisten (ikke den kode, der bruges af det selv), Stillman gik derefter videre og tilføjet et tilfældig ID til add-on, hvilket betød, at det ville igen passere add-on underskrive validering med flyvende farver.
Én ting er, at Mozilla mener i øjeblikket, er at tilføje whitelist undtagelser til add-ons under visse omstændigheder. Dette er drøftet på Mozilla Add-ons brugeroplevelse gruppe i øjeblikket.
Ifølge de oplysninger, der offentliggøres der, undtagelser kan gøres, hvis add-ons opfylde visse krav, såsom en 1-års solid track record med ingen seriøs gennemgang, spørgsmål, og mere end 100.000 aktive daglige brugere.
Gennemførelse ville hjælpe populære udvidelser få udgivelser hurtigt ud til brugerne, men det vil ikke løse det underliggende problem, at add-on-signering er ikke effektive i at forhindre, at skadelig extensions fra at blive installeret i Firefox.
Nu kan Du: Hvad er dit take på add-on underskriver?