Software::Browser
Mozilla erklärt Erweiterungs-Panne
Mozilla hat sich bei allen Benutzern für die Erweiterungs-Panne vom letzten Wochenende entschuldigt. Die Ursache des Problems und seine Lösung wurden mit allen technischen Details vorgestellt. Darüber hinaus wird es Konsequenzen geben, damit sich das Problem nicht wiederholt.
Mozilla
Wer am letzten Wochenende seinen Firefox nutzte, ob auf dem Desktop, auf Android oder in Form des Tor-Browsers, erlebte
eine böse Überraschung, als Firefox meldete, dass die installierten Erweiterungen keine gültige Signatur besäßen. In der Konsequenz deaktivierte Firefox alle (oder alle bis auf die lokal installierten) Erweiterungen der Benutzer. Damit war zugleich der Schutz vor JavaScript, Werbung und vieles mehr dahin, der durch Erweiterungen wie NoScript, UBlock und ähnliche gewährleistet wird. Besonders hart sind Tor-Benutzer betroffen, deren Sicherheit ganz entscheidend von den mitgelieferten Erweiterungen des Tor-Browsers abhängt. Der Vorfall wurde schnell als
armagadd-on-2.0 bezeichnet. Die Ursache des Problems bestand darin, dass das Zertifikat, mit dem Mozilla zentral alle Firefox-Erweiterungen signiert, abgelaufen war. Es hätte bereits vor etlichen Wochen erneuert werden müssen, was Mozilla offensichtlich verschlafen hat.
Mozilla-Mitarbeiter begannen sofort nach Bekanntwerden des Problems, fieberhaft an einer Lösung zu arbeiten. Nach neun Stunden stand eine Lösung bereit, die in den Stunden und Tagen danach an die Benutzer verteilt wurde. Ungeplante aktualisierte Firefox-Versionen (66.0.4 und 66.0.5) wurden im Anschluss erstellt. Durch diese Arbeiten verzögert sich jetzt die Freigabe von Firefox 67 um eine Woche auf den 21. Mai, zu diesem Zeitpunkt soll auch Firefox 60 ESR aktualisiert werden. Nun hat sich Mozilla nochmals ausdrücklich für den Vorfall entschuldigt und betont die Wichtigkeit von Firefox-Erweiterungen. Es werden Maßnahmen getroffen, um eine Wiederholung dieses Vorfalls zu vermeiden. Einzelheiten dazu wird es in den nächsten Tagen geben.
Die Nutzer haben laut Mozilla das Recht auf eine vollständige Aufklärung des Vorfalls. Diese Aufklärung leistet ein Beitrag von Eric Rescorla, CTO von Mozilla. Der Beitrag schildert sowohl die technischen Details als auch den zeitlichen Ablauf der Maßnahmen. Seit 2015 akzeptiert Firefox nur noch von Mozilla signierte Erweiterungen, um Schadsoftware vorzubeugen. Signierte Erweiterungen werden zumindest oberflächlich von Mozilla geprüft, was natürlich nicht jede Schadsoftware stoppen kann, aber laut Rescorla viel geholfen hat.
Bei der Signatur wird ein Public-Key-Verfahren verwendet, wie es von verschlüsselten E-Mails oder HTTPS bekannt ist. Jeder Schlüssel besteht aus einem öffentlichen und einem privaten (geheimen) Teil. Beim Stammschlüssel von Mozilla ist der öffentliche Teil in Firefox eingebaut, der private Teil wird offline in einem Hardware-Sicherheitsmodul verwahrt. Aus diesem Stammschlüssel wird alle paar Jahre ein Zwischenschlüssel generiert, der zum Signieren der Erweiterungen benutzt wird. Es war dieser Zwischenschlüssel, dessen Gültigkeit abgelaufen war.
Nachdem dies aufgefallen war, war es das Bestreben des Mozilla-Teams, möglichst schnell einen neuen Zwischenschlüssel zu erzeugen und eine Korrektur bereitzustellen, die den Schaden für die Benutzer behob. Da die Erstellung einer neuen Browser-Version eine längere Sache ist, wurde daher zunächst der Weg über das Studien-System gewählt, um kurzfristig einen »Hotfix« in den Browsern zu installieren. Wer extra, um diesen Patch zu erhalten, das Studiensystem und die damit verbundene Telemetrie eingeschaltet hat, sollte nun seine Einstellungen prüfen und entscheiden, ob er es wieder abschaltet. Mozilla hat die Datenerhebung abgeschaltet, damit die Benutzer nicht ungewollt Daten von sich preisgeben. Sie soll am 13. Mai nachmittags wieder eingeschaltet werden. Alle Daten, die zwischen 4. Mai und der Abschaltung angekommen sind, sollen gelöscht werden.
){kind=logo}
