Dodatki do Firefoksa będą podpisywane. Bez podpisu ich nie zainstalujemy
W tym roku czekają nas duże zmiany w kwestii bezpieczeństwa dodatków do przeglądarki Firefox. Mozilla postanowiła zająć się tą sprawą i niebawem zostanie uruchomiony mechanizm podpisywania dodatków stworzonych dla tej aplikacji. Jak można się domyślić, niepodpisane dodatki nie będą mogły być instalowane. Należy się jednak wstrzymać z krytycznym osądem tej decyzji – fundacja daje znacznie szerszy wachlarz możliwości, niż ma to miejsce w przypadku Google.
O tej dosyć nagłej decyzji przeczytamy w oświadczeniu, jakie pojawiło się na łamach bloga Mozilli. Decyzja jest podyktowana chęcią zwiększania bezpieczeństwa, a także ochrony prywatności użytkowników. Firefox to platforma otwarta i niezwykle elastyczna, ale zarazem narażona na ataki: w Internecie nie brakuje dodatków, które są szkodliwe, zmieniają stronę startową, podmieniają ustawienia wyszukiwarki, wstrzykują w przeglądane strony reklamy, a nawet złośliwe skrypty przechwytujące dane użytkownika. Co prawda przeglądarka posiada mechanizm blokujący, a oficjalna baza dodatków jest czysta, ale tego typu zagrożenia pochodzą z zewnętrznych witryn. Przejście na model dopuszczający instalację dodatków z „białej listy” problem ten eliminuje, choć wiąże się z pewnymi utrudnieniami.
Wszystkie dodatki znajdujące się obecnie w bazie AMO zostaną automatycznie zatwierdzone i podpisane, korzystający z nich użytkownicy nie odczują więc żadnych zmian. Inaczej wygląda sprawa z tymi, które są udostępniane np. na stronach autorów. Deweloperzy będą musieli założyć konto w serwisie Mozilli, a następnie przesłać dodatki do sprawdzenia. Jeżeli automatyczne testy nie wykryją nieprawidłowości, dodatek zostanie podpisany. W przeciwnym razie deweloper będzie mógł przesłać jego poprawioną wersję, lub zgłosić go do ręcznej weryfikacji. Co jednak najważniejsze, dodatki takie wcale nie będą musiały trafiać do oficjalnej bazy Mozilli. Jeżeli deweloper nie zechce, nie będą one upubliczniane. Nie ma tu więc wymogu takiego, jakie narzuca Google, każąc programistom umieszczać rozszerzenia w sklepie Chrome Web Store i pozwalając na instalację ich jedynie z tego źródła.
Najbardziej restrykcyjnym testom będą poddawane te rozszerzenia, które są instalowane do przeglądarki „przy okazji” instalowania innego oprogramowania jak np. pakietu antywirusowego. Te są często dodawane bez wiedzy użytkownika, wymagają więc największej uwagi. Oprócz tego Mozilla pracuje nad jeszcze jedną, trzecią opcją, ale na razie nie zdradza żadnych szczegółów. W samej przeglądarce zmiany zajdą w drugim kwartale tego roku. Najprawdopodobniej w Firefoksie 39 planowanym na 30 czerwca pojawi się komunikat ostrzegający o instalowaniu niepodpisanych rozszerzeń. Po kolejnych dwóch wydaniach ich instalacja będzie już niedostępna w przypadku wersji stabilnej i beta. Niepodpisane dodatki nadal będzie można instalować w wersji Developer, oraz wydaniach nocnych.
Zmiana zaproponowana przez Mozillę dotyczy jedynie przeglądarki Firefox i jedynie rozszerzeń. Jak na razie nie ma planów na objęcie takim programem słowników czy skórek do przeglądarki, a także pozostałych aplikacji: Thunderbirda i SeaMonkey. Rozwiązanie to wydaje się sensowne, bo faktycznie może zwiększyć bezpieczeństwo użytkowników. Jednocześnie nie zamyka ona ekosystemu przeglądarki – utrudnienia dla deweloperów nie są na tyle znaczące, aby można było mówić o jakichś niecnych zapędach ze strony Mozilli, tak jak w przypadku Google i jego przeglądarki Chrome.
