В Firefox 43 по умолчанию активирован режим обязательной проверки дополнений по цифровой подписи, но оставлена возможность отключения подобной проверки через изменение опции "xpinstall.signatures.required" в about:config. В одном из ближайших выпусков данную опцию планируется (https://wiki.mozilla.org/Addons/Extension_Signing) удалить, что приведёт к невозможности установки в финальных релизах неподписанных дополнений. Для упрощения тестирования дополнений в релизах реализован (https://blog.mozilla.org/addons/2015/12/23/loading-temporary.../) режим временной установки дополнений, который будет включен в состав Firefox 45.

Включение поддержки временной загрузки дополнений осуществляется во вкладке Add-ons на странице "about:debugging". Новая возможность позволит разработчикам установить любое неподписанное дополнение из локального XPI-файла, но данное дополнение будет активно только в рамках текущего сеанса и после первого перезапуска браузера будет автоматически удалено. Временно можно будет загрузить только дополнения, не требующие для своей активации перезапуска браузера. Ранее для тестирования дополнений планировалось выпускать специальные обезличенные отдельные сборки релизов, но, судя по всему, разработчики ограничатся механизмом временной установки дополнений. Для отладки дополнений также предлагается (https://blog.mozilla.org/addons/2015/12/18/signing-firefox-a.../) использовать команду "jpm sign", позволяющую снабдить дополнение цифровой подписью на локальной системе.

<center><img src="https://www.opennet.me/opennews/pics_base/0_1451030392.png&q... style="border-style: solid; border-color: #e9ead6; border-width: 15px;max-width:100%;" title="" border=0></center>

Mozilla рассчитывает, что введение проверки по цифровой подписи позволит блокировать распространение вредоносных и шпионящих за пользователями дополнений. По мнению (https://www.opennet.me/opennews/art.shtml?num=43398) некоторых разработчиков дополнений механизм обязательной проверки по цифровой подписи лишь создаёт сложности для разработчиков и приводит к увеличению времени доведения до пользователей корректирующих выпусков, никак не влияя на безопасность. Существует множество  тривиальных и очевидных приёмов (https://github.com/dstillman/amo-validator-bypass) для обхода системы автоматизированной проверки дополнений, позволяющих незаметно вставить вредоносный код, например, через формирование операции на лету путём соединения нескольких строк с последующим выполнением результирующей строки вызовом eval. Позиция Mozilla сводится (http://danstillman.com/2015/11/23/firefox-extension-scanning...) к тому, что большинство авторов вредоносных дополнений ленивы и не будут прибегать к подобным техникам скрытия вредоносной активности.

URL: https://blog.mozilla.org/addons/2015/12/23/loading-temporary.../
Новость: http://www.opennet.me/opennews/art.shtml?num=43585

• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 11:21 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 12:19 , 25-Дек-15
    • В Firefox 45 появится поддержка временной установки неподпис...,виндотролль, 15:51 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 13:51 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,виндотролль, 15:48 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 11:24 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 11:26 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 14:00 , 25-Дек-15
    • В Firefox 45 появится поддержка временной установки неподпис...,аннонним, 14:56 , 25-Дек-15
    • В Firefox 45 появится поддержка временной установки неподпис...,GrammarNarziss, 19:02 , 25-Дек-15
      • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 19:20 , 25-Дек-15
      • В Firefox 45 появится поддержка временной установки неподпис...,anonymous, 02:07 , 27-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,GrammarNarziss, 19:00 , 25-Дек-15
    • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 13:57 , 29-Янв-16
• В Firefox 45 появится поддержка временной установки неподпис...,anonymous, 11:37 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,Michael Shigorin, 11:43 , 25-Дек-15
    • В Firefox 45 появится поддержка временной установки неподпис...,iPony, 12:25 , 25-Дек-15
      • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 14:42 , 25-Дек-15
      • В Firefox 45 появится поддержка временной установки неподпис...,freehck, 02:55 , 27-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 16:00 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,irinat, 21:54 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,anonimous, 11:47 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 12:29 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 12:34 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 14:08 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 12:45 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 13:54 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 14:08 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 14:43 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 14:51 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,testt, 18:15 , 25-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,prokoudine, 21:05 , 25-Дек-15
  • В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 00:24 , 26-Дек-15
• В Firefox 45 появится поддержка временной установки неподпис...,Аноним, 01:27 , 27-Дек-15

Никто не мешает зарегистрировать одноразовый аккаунт в Mozilla и командой  "jpm sign" локально подписать вредоносное дополнение,  после чего распространять его как и раньше через левые сайты. Только раньше пользователь видя дополнение на левом сайте мог подозревать, что нет никаких гарантий, а теперь видя, что дополнение подписано он слепо доверится и будет считать, что всё в порядке.

Если вспомнить о том, что народу поддельные гугл хромы закачиваются, вместо настоящих, то ничего не мешает зловредам запускаться через лаунчер, предварительно формирующий каталог с расширениями до запуска.

> Если вспомнить о том, что народу поддельные гугл хромы закачиваются, вместо настоящих,
> то ничего не мешает зловредам запускаться через лаунчер, предварительно формирующий каталог
> с расширениями до запуска.

Думаю, тут много нюансов. Можно требовать наличие аккаунта разработчика на mdn, а подпись привязывать к машине, на которой она генерируется (типа, проверять мак адрес, или еще что-нибудь подобное). Короче, запретить такой сценарий несложно.

мазиле это индифирентно, они "экосистему строят" - добро пожаловать в стойло, экосистема.

мне кажется, что такая подпись будет каким-либо образом привязана к локальной машине

-Это означает, что я временно могу доехать до дома
https://www.youtube.com/watch?v=uc17veAual8

Блин, сколько их уже просили - если поставили целью скопировать Chrome, то хотя бы сделайте нормальный отладочный режим, как в Chrome, чтобы можно было на свой страх и риск отключать все тупые запреты. Принудительная защита, в условиях, что ни все хотят чтобы их защищали, ни к чему хорошему не приводит.

а как тогда пичкать тебя рекламой партнеров и банить адблоки?!

Мда все как в последнем сезоне соуз парка, реклама обрела человеческий образ, она среди нас.

P.S.  Хотел продолжить камент, но перешол по банеру со скидкой на дилдо

"пичкать тебе рекламу", нерусь!

ащет оригинальный вариант был правильнее

капчить тебе рекламу

"что не все", позорище

> "что не все", позорище

Заглавная буква, точка, нерусь!

Вроде собирались делать специальную версию с отключенной проверкой. Неужели забыли?

> Вроде собирались делать специальную версию с отключенной проверкой. Неужели забыли?

"Ранее для тестирования дополнений планировалось выпускать специальные обезличенные отдельные сборки релизов, но, судя по всему, разработчики ограничатся механизмом временной установки дополнений"

А что будет Alt Linux в такой ситуации?
Ведь ущемляется свобода пользователя.

как и федора - удалят огнелиса из репов в пользу вазелина/пальмы

Да в общем-то iceweasel пока никто не отменял.

Мозила испугалась, что все свалят сначала на не брендированную, а потом на какой-нибудь форк, который будет активно пиариться разработчиками расширений.

В Debian в Iceweasel 43.0.1 добавили исключение для расширений, загружаемых из /usr/share.

Нет ничего более постоянного, чем временное.

> большинство авторов вредоносных дополнений ленивы и не будут прибегать к подобным техникам

Mozilla: Мы помогаем побороть лень! ©

>Ранее для тестирования дополнений планировалось выпускать специальные обезличенные отдельные сборки релизов, но, судя по всему, разработчики ограничатся механизмом временной установки дополнений.

А откуда инфа, что от unbraded выпусков отказались?

> А откуда инфа, что от unbraded выпусков отказались?

непонятен смысл этого мозильского гетто.

А маркет, маркет-то когда запилють?

Так вот же он: https://marketplace.firefox.com/

О, да, что то в последнее время новости от Mozilla одна другой лучше.

THERE IS NO ESCAPE

Кряки будут?

>xpinstall.signatures.required в about:config. В одном из ближайших выпусков данную опцию планируется удалить

Зачем? Всех пользователй держат за идитов?

- А можно?
- Нельзя.
- А если очень-очень хочется?
- Разрешаю.

А кто ты такой, чтобы запрещать?

хм... печально все это( конец 2015 года, а они все про дополнения( мне интересно что JS(особенно ввиду его огромности в HTML5 API) не может что могут дополнения?