Firefox erfordert in Zukunft Signierung von Add-ons
Mozilla hat angekündigt, dass Add-ons bald über Mozillas Add-on Plattform AMO signiert werden müssen, damit sie in Firefox installiert werden können. Die Installation aus anderen Quellen bleibt – Signierung vorausgesetzt – auch weiterhin möglich. Damit reagiert Mozilla auf die zunehmende Zahl schädlicher Add-ons.
Mozilla bietet von allen Browserherstellern das wohl umfangreichste Add-on-System an, auch bei der Distribution der Add-ons sind dem Entwickler praktisch keine Grenzen gesetzt. Was für Entwickler und Nutzer einerseits toll ist, öffnet auf der anderen Seite auch die Türen für die Verteilung schädlicher Add-ons, welche nicht in erster Linie die Interessen der Nutzer im Sinn haben. Mozilla hat zwar Richtlinien für Add-ons zusammengestellt und kann Add-ons bei Verstößen gegen die Richtlinien blockieren, dies erfordert aber immer zunächst Kenntnis von den Verstößen. Zudem werden solche Add-ons häufig nicht über Mozillas Webseite verteilt, zudem wurden Wege gefunden, welche es schwierig machen, solche Add-ons zu finden und zu blockieren. Mozilla sieht sich in der Verantwortung, seine Nutzer zu schützen, möchte dabei aber ausdrücklich nicht den Weg von Google gehen, welche die Installation von Add-ons in Chrome nur über den Chrome Web Store erlauben. Add-ons für Firefox werden also auch weiterhin aus anderen Quellen als addons.mozilla.org (AMO) installiert werden können. Aber auch diese Add-ons müssen in Zukunft zumindest über AMO signiert werden.
Im Detail sieht der Plan wie folgt aus:
- Add-ons, welche auf AMO hochgeladen werden und ein positives Review erhalten, werden automatisch signiert.
- Von bereits bestehenden, auf AMO hochgeladenen, Add-ons wird die jeweils aktuellste Version (mit Review) signiert.
- Add-ons können weiterhin auch auf anderen Seiten als AMO angeboten werden. Allerdings muss der Entwickler auf AMO einen nicht öffentlichen Eintrag für sein Add-on erstellen. Ein automatischer Review-Prozess sorgt im Erfolgsfall für die Signierung. Schlägt hierbei ein Test fehl, hat der Entwickler die Möglichkeit, sein Add-on manuell vom AMO-Team überprüfen zu lassen.
- Für Add-ons, welche nicht öffentlich verteilt werden, wird es eine weitere Option geben, zu welcher Mozilla noch keine Details genannt hat.
- Es wird eine Übergangsphase von zwei Firefox-Versionen, also zwölf Wochen, geben. Während dieser Zeit wird Firefox beim Versuch, nicht signierte Add-ons zu installieren, nur eine Warnung anzeigen, die Installation aber weiterhin erlauben.
- Nach Ablauf der Übergangszeit wird es nicht länger möglich sein, ein nicht signiertes Add-on zu installieren. Dies betrifft sowohl die Release- als auch die Beta-Version von Firefox. In der Nightly Version sowie in der Firefox Developer Edition wird man auch nicht signierte Add-ons installieren können. Darüber hinaus wird es spezielle Release- und Beta-Builds ohne Firefox-Branding geben, welche zu Testzwecken genutzt werden können. Diese erlauben auch die Installation nicht signierter Add-ons.
- Es wird keine Einstellung geben, um die Überprüfung zu deaktivieren.
- Mozilla plant die Einführung der Signierung mit Firefox 39. In dem Fall wäre Firefox 41 die erste Firefox-Version, welche nicht länger die Installation nicht signierter Add-ons erlaubt.
- Die angesprochenen Änderungen betreffen ausnahmslos alle Add-ons für Firefox, inklusive SDK basierter Add-ons. Themes und Wörterbücher müssen auch in Zukunft nicht signiert werden.
- Es gibt derzeit keine Pläne, die Signierung von Add-ons auch für Thunderbird oder SeaMonkey einzuführen.
In diesem Zusammenhang möchte Mozilla den Installationsprozess signierter Add-ons verbessern, wie folgendes animiertes Mockup zeigt.
Sören Hentzschel ist Webentwickler aus Salzburg. Auf soeren-hentzschel.at informiert er umfassend über Neuigkeiten zu Mozilla. Außerdem ist er Betreiber von camp-firefox.de, der ersten Anlaufstelle im deutschsprachigen Raum für Firefox-Probleme aller Art. Weitere Projekte sind firefox.agenedia.com, firefoxosdevices.org sowie sozone.de.
Ich denke diese Änderung ist wohl richtig und auch angebracht. Die meisten Firefox-Nutzer werden fertige Add-ons installieren. Die Schrauber (dazu zähle ich mich auch) unter uns Firefox-Nutzer sind da wohl in der Minderheit! Ich denke mal wir werden das schon „überleben“.
Nun ja es wird wie immer ein Katz und Mausspiel werden. Egal wie viel Mühe sich Mozilla geben wird, die bösen Addon Entwickler werden immer einen Schritt voraus sein. Noch dazu weil alles als Quellcode verfügbar ist. 99,9% sind genervt (und das werden sie sein wenn Addon entwickler nicht mitmachen) und das 0,1% der schwarzen Schafe umgeht das wieder.
Zu Hause ist es mir egal, da ich eh nur Nightly nutze, aber wenn ich meine selbst entwickelten Addons für die Firma anpasse, weil es ein paar Änderungen bei den Webseiten gibt, wird es wohl nichts mehr mit just in time fixes. Dann steht erst mal der Signierprozess auf dem Plan.
Es gibt viele Addons die von den Entwicklern allein gelassen wurden. Was passiert damit? Ich hab auch ein paar in Pflege die ich allerdings nicht veröffentliche. Der Stress für den Support ist mir zu groß. Die Zeit habe ich nicht. Wenn ich mir die Pflegefälle dann in der Firma installieren will habe ich auch ein Problem und kann alles signieren lassen. Alles zusammen sehe ich nur eine ganze Menge Mehrarbeit.
Der beste Schutz ist und bleibt immer noch das Hirn einschalten von wo lädt man sich was runter und wo setzt man seine Haken was passiert wenn ich ja sage. Das war immer so und das wird auch in Zukunft so bleiben.
Ich finde es geht das Mozilla endlich diesen wieg geht es wäre schon viel früher nötig gewesen.
Es ist ein Katz und Maus Spiel Spiel es gibt so viele Schadhafte Add-ons, oder Add-ons die zwar das dar sind Aber im Add-on Manger nicht angezeigt werden, erst wenn man in die HIlfe zur Fehlerbehebung geht dort wird da wirden da dann irgendwlche Add-ons die ich nie selber instaliert habe und kein Name haben nur eine ID angezeigt und kann diese dann immer mal wieder entfernen.
Und deshalb kann Mozilla den Kampf gegen solche Add-on ´s nie gewinnen. wenn vieleicht Mozilla man einige Add-on sperrt oder löäscht entwickeln andere schon neue unter andren Namen verbreiten.
Der Schutz der Benutzter geht vor,.
Ich würde mir auf jeden Fall wünschen dass man auch dann in der Add- on Verwaltung sieht, wenn ein Add-on Zertifiziert ist.
Und ist ist bestimmt kein Hexenwerk sich das Add-on zertifizieren lassen, das dauert vieleicht ein paar Minuten länger, ist aber für die große Mehrheit der Nutzer ein großer Zugewinn an Sicherheit.
@TheRave:
Zwischen den „Guten“ und „Bösen“ wird es natürlich immer ein Katz- und Mausspiel geben, und die Signierung verhindert natürlich auch nicht, dass es Add-ons gibt, welche nicht im Nutzerinteresse agieren. Aber zumindest ermöglicht dies Mozilla, besser zu reagieren. Es ist beispielsweise ziemlich schwierig, schädliche Add-ons zu blockieren, die ihre ID in jeder Installation verändern, der bisherige Blockier-Ansatz funktioniert nämlich genau darüber. Und die allermeisten Add-ons werden ja sowieso auf AMO gehostet, da ändert sich für den Entwickler also nichts. Wirklich verändern tut sich ja eigentlich nur was für Add-ons, die nicht auf AMO gehostet werden.
Es gab immer und wird immer Add-ons geben, die von ihren Entwicklern alleine gelassen werden. Daran ändert sich nichts. Die Signierung über AMO ist in jedem Fall nicht an eine Veröffentlichung über AMO geknüpft.
Ohne Frage ist das ein wichtiger Teil, leider aber nicht alles und bereits für genug Menschen nicht selbstverständlich. Teilweise sind die Optionen aber auch bewusst vom Hersteller gut versteckt.
@ Christian T.:
Richtig. Der Mehraufwand sollte sich wirklich in Grenzen halten. Die einzige Hürde ist im Prinzip, dass man zum Testen einer nicht signierten Erweiterung in einer finalen Version einen speziellen Firefox-Build benötigt. Man wird ja vermutlich nicht nach jeder Änderung das Add-on signieren. Aber wenn man weiß, was man zu tun hat, dann sollte das machbar sein. Sicherheit und Komfort unter einen gemeinsamen Hut zu bringen, das ist leider immer schwierig.
das gute ist dann auch,
wenn ich mir Add-on XY runterlade, dann weiß ich das es wirklich das es das Add -on ist, und das es es ein Orginal Add-on ist und das nicht der Qullcode verändert worden ist oder zb., wenn man was bei einem Drittanbieter (was ich eigentlich nie machen würde) von Webseite runterladen würde.
Da ist dann auch der Nachweis das das Add-on zertifizeirt ist.
Ich persönlich denke, dass das ein guter Weg ist und Mozilla hier richtig handelt. Das Mozilla auch an die Entwickler denkt und an Nutzer-eigene Addons denkt, beweist folgendes:
Ich hoffe, dass sich Mozilla durch den Shitstorm der sich in den folgenden Tagen im Internet ausbreiten wird nicht einschüchtern lässt und beharrlich bleibt.