» »

Mozilla s pretečenim certifikatom pomotoma onesposobila vse razširitve v Firefoxu

Mozilla s pretečenim certifikatom pomotoma onesposobila vse razširitve v Firefoxu

Slo-Tech - Številni uporabniki Mozillinega brskalnika Firefox so danes ponoči ugotovili, da so prenehale delovati vse razširitve v brskalniku. Sporočila o napakah so različna, običajno pa piše, da razširitve ni možno preveriti in je zato onemogočena. Težava ni prizadela vseh uporabnikov, a o nevšečnostih vseeno poroča več milijonov uporabnikov. Mozilla je hrošča že potrdila in se lotila odpravljanja težave.

Kot kaže, se srž problema skriva v pretečenem certifikatu, ki mu je veljavnost iztekla danes ob polnoči po univerzalnem koordiniranem času. Ker morajo biti razširitve za uporabo podpisane, je potek certifikata avtomatično pomenil njihovo onesposobitev. Mozilla je to zahtevo uvedla v verziji 48 leta 2016, da bi omejila širjenje malwara in otežila namestitve lažnih razširitev. Toda sedaj imajo uporabniki povsem legitimnih razširitev problem. Ne pomaga niti ponovna namestitev razširitev ali brskalnika, temveč bo treba počakati, da Mozilla pripravi popravek z novim certifikatom. V vmesnem času lahko uro prestavite nazaj ali pa uporabite verzijo Firefoxa iz vej Nightly ali Developer, ki omogočajo izklop obveznega podpisovanja razširitev.

Mozilla napako že odpravlja.

92 komentarjev

«
1
2

filip007 ::

Pri meni uBlock Origin dela, tako da nevem, kaj naj bi bilo narobe.
Palačinka z Ajvarjem in stopljenim sirom v mikrovalovki.

roCkY ::

Zjutraj okoli pol petih mi na ennem PC ni delalo. Ta mi trenutno dela. Onega sedajle nisem preveril. Sem se ap ustrašil, da je kaj novega glede dodatkov in bo spet treba alternative iskat.

Dr_M ::

Na 56.0.2 ni tezav.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.

Invictus ::

Baje so interni zaposleni opozarjali na to kar nekaj časa, posledica je bila, da je kar nekaj zaposlenih bilo odpuščenih.

Ampak trenutno ne najdem novice, kje je bilo to objavljeno.
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

MaterVola ::

Egidij88 ::

Ja, the horror...

Invictus ::

Sicer to ni prvič, da se je to neki veliki firmi zgodilo.

Se spomnim izteka certifikata za IBM Websphere...

IBM opozarjal 2 leti prej, da se bo certifikat iztekel in napisal navodila, kako naložiti nov certifikat.

Jasno, da je bilo cel kup PMRov po preteku le tega :)). To samo pomeni, da ljudje, ki naj bi obvladovali neko infrastrukturo nimajo pojma kako le ta deluje...
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

_0\WA6m7Uzc ::

MaterVola je izjavil:

https://twitter.com/cbHXBY1D/status/112...


:D :D :D :D Sem sel nalasc disablat ad blocker, ugotovil, da res ze 10 let nisem videl interneta z bannerji. Zadnji, ki sem ga videl je bil slotechov, ko so ga uvedli, pa ravno 2x ali 3x da sem regex na proxyu spisal...

Matev ::

meni od danes zjutraj ne dela adblocker

internet brez tega je total bloatan z reklamami
tudi slo-tch stran je eno gnojišč reklam

upam da čimprej porihtajo

sem se pa ustrašil da je to zdaj za skoz

starfotr ::

Matev ::

kako resnično starfotr

haha
en izmed komentarjev na firefoxovi strani

seka:
Seeing the internet with ads for the first time in almost two decades is a real nightmare. How do old folk and newborns do it?

...
...
...

11.55 zopet dela

Zgodovina sprememb…

  • spremenil: Matev ()

poweroff ::

How lame.

In potem mi ima tip iz Mozilla Foundation še obraz razlagati kako ono resno jemljejo varnost???

Invictus je izjavil:

Baje so interni zaposleni opozarjali na to kar nekaj časa, posledica je bila, da je kar nekaj zaposlenih bilo odpuščenih.

Ampak trenutno ne najdem novice, kje je bilo to objavljeno.

Tole me pa zanima. Sicer se mi zdi precej neverjetno in bi na prvo žogo rekel, da je fake news, ampak če najdeš, ti častim pivo. ;)
sudo poweroff

filip007 ::

Če ne bi izklopil samo za Slo-Tech, potem ne bi slišal za eigre.si, tako hudo pa spet ni.
Palačinka z Ajvarjem in stopljenim sirom v mikrovalovki.

kuall ::

meni je tudi crknil adblock. to je res mučenje sufrat net z reklamami. moram povedat še parim ljudem okoli mene, ki sigurno morajo gledat te reklame, da naj si namestijo adblock. nikoli maral reklam.

HotBurek ::

Update: https://bugzilla.mozilla.org/show_bug.c...

Izdali si nov certifikat z istim key-em, s tem da je dlje časa veljaven.


Je že kdo našel, kater je ta certifikat, ki je potekel? Bi bilo zanimivo za poizkusit, če se da ta certifikat kopirat iz PCja, kjer FF dela bp.
root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

_0\WA6m7Uzc ::

poweroff je izjavil:

How lame.

In potem mi ima tip iz Mozilla Foundation še obraz razlagati kako ono resno jemljejo varnost???


Matthat, pazi kaj govoris. Samo se firefox imamo. =/

krho ::

Zakaj niso podpisi še timestampani.. tako, kot podpisi na executablih.. to potem pomeni, da je podpis veljaven, tudi, če je certifikat že potekel!
si.Mail odprto-kodni odjemalec elektronske pošte. - http://www.simail.si
Uredite si svojo zbirko filmov, serij in iger - http://xcollect.sf.net

starfotr ::

A kdo ve, ko bodo pofixali cert, bo vse začelo delat ali bo treba kaj naredit s strani uporabnikov?

matijadmin ::

Mozilli (in uporniškim uporabnikom, ki so goltali drek zavoljo inata) gre le priznanje za odprtje spletnih standardov, kot brskalnik pa je bil FF od nekdaj smet. Še huje je s TB.
Vrnite nam techno!

roli ::

Zanimivo. Jaz nisem nič opazil, da bi kaj crknilo. Res pa je, da browser restartam takrat kot komp, kar je ponavadi enkrat na mesec. Mogoče se to zgodi samo ob restartu?
http://www.r00li.com

Izi ::

Hotfix je bil že dobre 3 ure nazaj.
app.update.lastUpdateTime.xpi-signature-verification
so nastavili na 1556945257
in vsi dodatki so takoj spet začeli delati. Vsaj pri meni.
Če imaš Studies izklopljene verjetno lahko to tudi ročno vneseš, dokler ne pride pravi popravek.

Invictus ::

Sem nastavil, pa mi ni začelo delati...
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

starfotr ::

Meni je ravnokar začelo vse delat. Brez posegov, samo od sebe.

matijadmin ::

Hotfix:=security disabled
Vrnite nam techno!

MrStein ::

poweroff je izjavil:

How lame.

In potem mi ima tip iz Mozilla Foundation še obraz razlagati kako ono resno jemljejo varnost???

Daj no, vse malware imajo blokirane, tudi še neodkrite!

PS: Poznavalec mi naj osveži spomin: kaki je postopek pri potečenem root ali intermediate certifikatu?
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Zgodovina sprememb…

  • spremenil: MrStein ()

Dr_M ::

No, meni je pa FF zdele javil, da so nekateri addoni disabled. Dolgo je trajalo.
The reason why most of society hates conservatives and
loves liberals is because conservatives hurt you with
the truth and liberals comfort you with lies.

CyberPunk ::

Torej ce prav razumem - lahko pocakamo, da pride fix, ali pa vklopimo studies, da se uredi "takoj"? Najprej me je malo zmotilo, ko sem sel brat in narobe razumel, da hocejo, da vkljucim "studies", ce hocem, da se zadeva uredi.

Meni je sicer delalo cez dan brez problemov, sedaj pa pridem po kaksni uri nazaj do masine in debelo gledam, zakaj je Firefox tako "cuden" (disablal je mdr. eno barvno shemo, ki jo uporabljam ze par let :D ).

In ko sem ze bil pri tem, sem sel pogledat about:studies


WTF? Nikoli nisem participiral pri teh receh.

starfotr ::

Meni se je samo od sebe uredilo. Brez poseganja v karkoli, smo čakal sem.

OttoParts ::

Pravkar prejel sporočilo, da so razširitve onesposobljene....

jype ::

Ta prispevek je reklama.

OttoParts ::

Ej je enega smetja na straneh, upam da se zadeve hitro popravijo, ker je za znoret.

MrStein ::

CyberPunk je izjavil:

Torej ce prav razumem - lahko pocakamo, da pride fix, ali pa vklopimo studies, da se uredi "takoj"? Najprej me je malo zmotilo, ko sem sel brat in narobe razumel, da hocejo, da vkljucim "studies", ce hocem, da se zadeva uredi.

Studies so po defoltu vklopljeni.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

roCkY ::

Ja so vklopljeni. Ampak očitno ne pomage kaj dosti. Meni trenutno ne dela na nobenem PC-ju.
Največji problem pri meni je ker uporabljam FVD Speed dealer in sem ostal praktično brez vseh bookmarkov. Dan rešuje history...
Oglasov pa je nenormalno po straneh.

CyberPunk ::

MrStein je izjavil:

CyberPunk je izjavil:

Torej ce prav razumem - lahko pocakamo, da pride fix, ali pa vklopimo studies, da se uredi "takoj"? Najprej me je malo zmotilo, ko sem sel brat in narobe razumel, da hocejo, da vkljucim "studies", ce hocem, da se zadeva uredi.

Studies so po defoltu vklopljeni.

Pri meni so izklopljeni ali pa narobe kaze. Ker je nastavitev podrejena eni na temo posiljanja podatkov Mozilli. To vedno ugasnem.

orreel ::

V nastavitvah zasebnost in varnost je potrebno vključiti-zbiranje in uporaba podatkov- Firefoxsu dovoli nameščanje in izvajanje raziskav in vsi dodatki spet delujejo.

jype ::

orreel je izjavil:

V nastavitvah zasebnost in varnost je potrebno vključiti-zbiranje in uporaba podatkov- Firefoxsu dovoli nameščanje in izvajanje raziskav in vsi dodatki spet delujejo.
Ne.

c0dehunter ::

Poskusite Brave. Hitrejši in boljši kot Chrome in Firefox. Blokira oglase from the grounds up, oz. vam plača, če imate reklame vključene (tracking je client side, tako da vaše brskalne navade ne uhajajo nikamor).
I do not agree with what you have to say,
but I'll defend to the death your right to say it.

Glugy ::

Ja men so nehal containerji deleat. Čez čas so spet delal ampak je bilo vse resetirano na privzeto tako da sm mogu vse kontejnarje na nov it delat. Nevšečno.. ampak ni hujšga.

Matko ::

Upam, da ne bo sedaj crknilo, ko se bom pohvalil, da vse dela brez prekinitev (60.6.1esr 64-bit)

poweroff ::

sudo poweroff

Ales ::

Ok, kratek povzetek:

- popravek bo na voljo za vse, delajo na tem, samo počakati je potrebno
- kdor ima vklopljeno opcijo "Allow Firefox to install and run studies" bo popravek dobil prej (je že na voljo, a lahko malo traja, da pride do vas)
- lahko si popravek iz Studies naložite direktno, takoj (ne da bi Studies sploh vklapljali, če nočete).

Kako naložiti popravek direktno?

Iz naslova storage.googleapis.com/moz-fx-normandy-prod-addons/extensions/hotfix-update-xpi-intermediate%40mozilla.com-1.0.2-signed.xpi

Popravek je podpisan s strani Mozille, to obvezno preverite pri namestitvi.

Posebej bi opozoril, da ne poskušate brisati in ponovno nameščati razširitve, saj to ne pomaga in lahko samo povzroči, da brez potrebe izgubite nastavitve.

HotBurek ::

Men je pa cel dan FF delal bp, zdejle mi je pa riknilo te addone ven.

"Allow Firefox to install and run studies" imam pa zamrznjejo in ne moram enejblat.

Težavo je na koncu rešil hotfix-update-xpi-intermediate iz zgornjega naslova. Viden pa je v about:debugging#addons.
root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

CyberPunk ::

Ales je izjavil:


Kako naložiti popravek direktno?

Iz naslova storage.googleapis.com/moz-fx-normandy-prod-addons/extensions/hotfix-update-xpi-intermediate%40mozilla.com-1.0.2-signed.xpi

Hvala za to. Sem se že začel navajati na Pale Moon v vmesnem času... :D

jukoz ::

Oj, men je vse add-one izbrisal oz mi jih sploh ne kaže. Edini ki je ostal je Nuke Everything. NoScript, uBlock, ... nobenega od teh ne kaže.

Ima še kdo kaj takega?

broken/link ::

verjetno ti jih ne pokaže, ker so označeni kot "legacy" zaradi zajeba omenjenega v tej novici.
najprej naredi, kar je @Ales napisal: https://slo-tech.com/forum/t744581/p631...

jukoz ::

Ne diši mi ravno nalaganje dodatkov iz čudnih virov.

Glede na mozziline zapise na blogu:
https://blog.mozilla.org/addons/2019/05...

Je potrebno samo počakati da ta studies zagrabi:
about:studies

Sam tole je pa kar zajeb. Se strinjam s komentatorjem na blogu:

"I bitterly complained when centralized signing of addons was pushed by Mozilla, and now it has come back to bite them. In this case, their own hypocrisy was to blame. While crowing about software freedom and freedom of choice, they placed themselves as central arbiters in the add-on ecosystem, even to the point where local installations of addons required signatures without hacks to the Firefox config. Debian at least disabled signature requirements for local system directory installations, but it's clear that Mozilla wanted to retain a monopoly on future "app stores" even as theirs makes not the slightest effort to show the licenses of individual addons and prioritize those which are free/libre.

And each release brings with it a flood of new privacy-intrusive options and telemetry, requiring more and more byzantine methods to block. And two years ago, pushing out a browser which telemetered whether telemetry was turned off -- even *when* it was turned off, requiring an undocumented variable to block, really showed the contempt Mozilla administration had for privacy-conscious users.

The problem is, it's still the least-bad of the browsers, though this could change rapidly. At least it is possible, though difficult, to maintain a privacy-conscious installation without source patches and the lengthy recompilations."

Mi je pa fuuuul čudno da mi NukeEverything še vedno deluje =)

Zgodovina sprememb…

  • spremenilo: jukoz ()

Ales ::

jukoz je izjavil:

Ne diši mi ravno nalaganje dodatkov iz čudnih virov.

Popolnoma pravilno.

Naj pojasnim, od kod mi povezava. Tukaj je izvoren seznam Mozillinih Studies dodatkov in popravkov:

normandy.cdn.mozilla.net/api/v1/recipe/

V seznamu poiščeš tekst:
Hotfix: Update XPI signing intermediate [Bug 1548973]

Zraven tega teksta se v polju "addonUrl" nahaja neposredna povezava do popravka:
"addonUrl": "https://storage.googleapis.com/moz-fx-normandy-prod-addons/extensions/hotfix-update-xpi-intermediate%40mozilla.com-1.0.2-signed.xpi"

Gre torej za uradno povezavo iz Studies popravka, kot jo je objavila Mozilla, le da je moč popravek namestiti takoj, brez čakanja in tudi brez vklapljanja Studies programa.

forplan ::

Meni ne zagrabi zgornja povezava. Ko kliknem allow je potem napaka connection failure
da se strinjam

nekdu ::

Tle so vse uradno opisali:
https://blog.mozilla.org/addons/2019/05...

V meniju Options/Privacy&Security se vklopi "install and run studies"

Po ponovnem zagonu Firefox-a se je pri meni takoj osvežilo, tako da "about:studies" kaže instaliran
"hotfix-update-xpi-signing-intermediate-bug-1548973"

Po tem se to pošiljanje podatkov Firefox-u spet izklopi ;)

Zgodovina sprememb…

  • spremenilo: nekdu ()
«
1
2


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Firefox Quantum je kvantni skok naprej (strani: 1 2 3 4 5 )

Oddelek: Novice / Brskalniki
23563090 (48001) Apofis
»

Velike spremembe v Firefoxu: podpisovanje razširitev, WebExtensions za združljivost, (strani: 1 2 )

Oddelek: Novice / Brskalniki
5724442 (18385) tor2
»

Izšel Firefox 18

Oddelek: Novice / Brskalniki
226058 (4494) d4vid
»

Firefox 4 izšel (strani: 1 2 3 4 5 )

Oddelek: Novice / Brskalniki
23570073 (59238) opeter

Več podobnih tem