Názory k článku
Firefox vypíná uživatelům doplňky kvůli chybě s ověřením, na opravě se pracuje

První oprava se už distribuuje mezi uživatele. Pro její instalaci je potřeba mít ve Firefoxu povolenou instalaci studií. Postup najdete v původní zprávičce na adrese https://www.mozilla.cz/zpravicky/firefox-kvuli-chybe-vypina-doplnky-mozilla-pracuje-na-rychle-naprave/.

Ještě jednou velká omluva za všechny nepříjemnosti, které to způsobilo.

V Debianu na mě bohužel pod "Sběr a používání dat o aplikaci Firefox" kouká hláška "Odesílání dat je zakázáno konfigurací tohoto sestavení" a o studiích ani slovo.

Jo, protože to není pro Firefox ESR.

A veškerá bezpečnost skrze doplňky jako ublock,nosript a jiné globálně vypnuta, to je fakt průšvih.

Mimochodem xpinstall.sig­natures.requi­red;false funguje i na standartní instalaci a doplňky, kromě jazykového rozšíření, naskočí doslova zpět.

ohanis se bezpecnosti a udelas bezpecnosti diru vypnutim kontroly podpisu ;-)
ten postup co uvadi Michal je cistejsi a take funguje, vcetne overeni na FF v (jiz nepodporovanem, tedy klasickehj update balicku by stejne nedosel) Ubuntu14.04...
https://www.mozilla.cz/zpravicky/firefox-kvuli-chybe-vypina-doplnky-mozilla-pracuje-na-rychle-naprave/

Tady se ukazuje, jaká je to velká výhoda, když "jeden vládne všem".

BTW:
...
* We’re aware that some users are reporting that their extensions remain disabled with both studies active. We’re tracking this issue on Bugzilla in bug 1549078. (May 4, 12:03 EDT)
* Clarified that the Studies fix applies only to Desktop users of Firefox distributed by Mozilla. Firefox ESR, Firefox for Android, and some versions of Firefox included with Linux distributions will require separate updates. (May 4, 12:03 EDT)

No ono nic není tak růžové, jak to vypadá :

Clarified that the Studies fix applies only to Desktop users of Firefox distributed by Mozilla. Firefox ESR, Firefox for Android, and some versions of Firefox included with Linux distributions will require separate updates. (May 4, 12:03 EDT)

No, pokud řeším bezpecnost, pak mě Firefox v nepodporovaném Ubuntu 14.04 moc nezajímá…

to je neco jineho, u nepodporovaneho 14.04 ktere neni vystavene do internetu by musela bejt dira v FF, coz nemusi, ale dobrovolne vypnuti kontroly podpisu doplnky je jiste ze si uzivatel tu diru SAM udela...

druha vec je ze o 14.04 sem pro zajimavost psal ja, ale tomkcz kterej si overeni podpisu dobrovolne vypnul ji jiste nepouziva (ani se nezminil o ESR) a pritom uz v te dobe MEL moznost povolit (na chvili) studie ktere by nainstalovali oficialni opravu, BEZ nutnosti vypinat overeni podpisu, a po aplikaci toho patche lze studie opet vypnout... jeho nevhodne reseni nechava diru stale a patch se mu dostane az teprve s realnou aktualizaci baliku...

> u nepodporovaneho 14.04 ktere neni vystavene do internetu by musela bejt dira v FF, coz nemusi

Co myslíte tím nevystavením do Internetu? Schování za NAT+firewall?

* Je jen otázkou času, než se nějaká najde.
* Lze útočit i na jiné programy, například LibreOffice, čtečku PDF nebo archivátory. Stačí nabídnout zdánlivě nevinný soubor ke stažení.
* Útok může jít i skrze DNS: https://www.nbs-system.com/en/blog/glibc-dns-vulnerability-how-does-it-work/

Mimochodem, schování za NAT+firewall může mít celkem minimální význam. Na desktopu nejspíš nebudu mít spuštěný žádný server dostupný mimo localhost, takže NAT+firewall mě ochrání snad jen přek některými jadernými zranitelnostmi, které nevyžadují otevřený port. A to útok nesmí přijít zevnitř sítě.

Tady je vidět, jak to funguje, když je program chytřejší než uživatel. Kdyby FF jako před pár lety umožňoval podpis vypnout, vypnul bych si ho na tu dobu než to spraví spolu s aktualizacemi a pak bych to zase zapnul. Takhle už třetí den vidím, jak web vypadá doopravdy. No, je to dost šílené :D. A tridactyl už mi faaakt chybí.

vypnout to ale jde ;-) https://www.root.cz/zpravicky/firefox-vypina-uzivatelum-doplnky-kvuli-chybe-s-overenim-na-oprave-se-pracuje/#o1021703

jen to NEni/nebylo_kdyz_si_p­sal potreba:
https://www.root.cz/zpravicky/firefox-vypina-uzivatelum-doplnky-kvuli-chybe-s-overenim-na-oprave-se-pracuje/#o1021697

Aha, to je zvláštní. Není to tak dlouho, co jsem chtěl nainstalovat vlastní rozšíření, které jsem neměl podepsané a nevývojářský FF to nepovolil. Tak alespoň něco ;).

https://storage.googleapis.com/moz-fx-normandy-prod-addons/extensions/hotfix-update-xpi-intermediate%40mozilla.com-1.0.2-signed.xpi

Toto XPI od Mozilly by mělo fungovat i na sestaveních, kde nejsou studie povoleny, ale v ESR v Debianu nezabírá, i po restartu FF jsou doplňky stále zakázány (hláška stejná jako původně).