Software::Browser
Mozilla veröffentlicht ausführliche Analyse der Erweiterungs-Panne
Die Erweiterungs-Panne vor gut zwei Monaten lässt sich ganz banal damit erklären, dass Mozilla den Ablauf eines wichtigen Zertifikats verschlafen hat. Tatsächlich war die Sachlage komplizierter.
Mozilla
Mozilla hat gut zwei Monate nach der
Erweiterungs-Panne eine ausführliche Analyse veröffentlicht. Der Vorfall ereignete sich am ersten Mai-Wochenende und betraf Nutzer von Firefox auf dem Desktop, auf Android oder in Form des Tor-Browsers.
Firefox meldete, dass die installierten Erweiterungen keine gültige Signatur besäßen. In der Konsequenz deaktivierte Firefox alle (oder alle bis auf die lokal installierten) Erweiterungen der Benutzer. Damit war zugleich der Schutz vor JavaScript, Werbung und vieles mehr dahin, der durch Erweiterungen wie NoScript, UBlock und ähnliche gewährleistet wird. Besonders hart waren Tor-Benutzer betroffen, deren Sicherheit ganz entscheidend von den mitgelieferten Erweiterungen des Tor-Browsers abhängt. Der Vorfall wurde schnell als
armagadd-on-2.0 bezeichnet. Die Ursache des Problems bestand darin, dass das Zertifikat, mit dem Mozilla zentral alle Firefox-Erweiterungen signiert, abgelaufen war. Es hätte bereits vor etlichen Wochen erneuert werden müssen.
Eric Rescorla, CTO von Mozilla, präsentiert jetzt, etliche Wochen später als ursprünglich beabsichtigt, in einem neuen Beitrag die Ergebnisse der versprochenen ausführlichen Analyse des Vorfalls. Vereinfacht könnte man sagen, dass Mozilla den Ablauf des Zertifikats verschlafen hat. Tatsächlich war das aber den Mitarbeitern des Teams, das die Signaturen erstellt, bekannt, doch nahmen sie fälschlicherweise an, dass Firefox bei diesem Zertifikat nicht auf das Ablaufdatum schauen würde. Bei den Testern von Firefox fiel das Problem nicht auf, da es keine Tests dafür gab. Die Konsequenzen, die daraus zu ziehen sind, sind zum einen bessere Kommunikation zwischen den Teams und bessere Dokumentation, zum anderen erweiterte Tests.
Weil die Zeit bei der Behebung des Problems drängte und die Erstellung einer neuen Browser-Version eine längere Sache ist, wurde, wie Rescorla nochmals erklärt, zunächst der Weg über das Studien-System gewählt, um kurzfristig einen »Hotfix« in den Browsern zu installieren. Da dies nur in Verbindung mit der Telemetrie möglich war, erhielt Mozilla Telemetriedaten von Benutzern, die das mutmaßlich eigentlich nicht wollten. Diese Daten wurden von Mozilla im Anschluss wieder entfernt. In Zukunft soll es einen separaten Mechanismus für solche »Panik-Updates« geben. Er ist bereits in Arbeit, dürfte bei vielen Benutzern aber erneut für Unmut sorgen.
In den Tagen nach dem Vorfall stellte sich heraus, dass die zuerst ausgelieferte Korrektur fehlerhaft war. Und zwar nicht nur einmal, sondern gleich achtmal, was in sechs Browser-Aktualisierungen in kurzer Zeit resultierte. Offensichtlich wurde hier die Qualitätsprüfung stark vernachlässigt, unter anderem auch deshalb, weil in der kritischen Phase am Wochenende nur Entwickler, Operatoren und Manager, aber keine Tester eingebunden wurden. Auch das will Mozilla künftig besser handhaben. Weitere Informationen findet man in der abschließenden Analyse des Vorfalls und der technischen Analyse, die beide veröffentlicht wurden.
){kind=logo}
