सुरक्षा सप्ताह 20: फ़ायरफ़ॉक्स एक्सटेंशन को अक्षम करना

4 मई को मॉस्को में सुबह चार बजे (या थोड़ी देर बाद, भाग्य के आधार पर), सभी स्थापित एक्सटेंशन फ़ायरफ़ॉक्स ब्राउज़र के उपयोगकर्ताओं के लिए काम करना बंद कर दिया, और नए ऐड-ऑन स्थापित करना असंभव हो गया। समस्या ब्राउज़र की तरफ थी - मध्यवर्ती प्रमाण पत्र, जिसके द्वारा सभी एक्सटेंशन पर हस्ताक्षर किए गए हैं, समाप्त हो गया है। इस घटना का सूचना सुरक्षा से अप्रत्यक्ष संबंध है - दुर्भावनापूर्ण एक्सटेंशन (2015 में शुरू) से उपयोगकर्ताओं को बचाने के लिए डेवलपर्स की तार्किक इच्छा के परिणामस्वरूप बुरी किस्मत पैदा हुई और इस तथ्य के कारण कि किसी ने ध्यान नहीं दिया कि प्रमाणपत्र जल्द ही समाप्त हो जाएगा।

फिर भी, यह एक मामूली सुखद अंत के साथ एक दिलचस्प कहानी है: 12 घंटे के भीतर एक गैर-तुच्छ समस्या को हल करना संभव था। यह भी एक अच्छी तरह से प्रलेखित घटना है, दोनों डेवलपर्स से बहुत सारी जानकारी और उपयोगकर्ताओं से अविश्वसनीय मात्रा में नाटक । इस प्रक्रिया में, गोपनीयता की समस्या उत्पन्न हुई, जिसे काफी प्रभावी ढंग से हल किया गया।

एक्सटेंशन के साथ समस्याओं की पहली रिपोर्ट 3 मई, प्रमाणपत्र समाप्त होने से पहले दिखाई दी। रेडिट पर ऐसी कम से कम एक चर्चा है। कंप्यूटर पर थ्रेड के लेखक ने गलत तिथि निर्धारित की थी, इसलिए वह बग के बारे में पता लगाने वाले पहले व्यक्ति में से एक था (और इसे सही तिथि निर्धारित करके "निश्चित" किया गया था, लेकिन लंबे समय तक नहीं)। थोड़ी देर बाद, समस्या सभी उपयोगकर्ताओं के लिए दिखाई दी, लेकिन अलग-अलग समय में: प्रमाण पत्रों की वैधता जिसके द्वारा एक्सटेंशन पर हस्ताक्षर किए जाते हैं, हर 24 घंटे में एक बार जांच की जाती है। विस्तार की डिग्री के साथ आगे का इतिहास यहां वर्णित है: समाचार , बग रिपोर्ट , तकनीकी सहायता , तकनीकी विवरण के साथ एक ब्लॉग पोस्ट और सीटीओ फ़ायरफ़ॉक्स की ओर से घटना के बारे में एक कहानी ।


यह है कि फ़ायरफ़ॉक्स में एक्सटेंशन पर हस्ताक्षर करने की प्रक्रिया कैसी दिखती है। श्रृंखला के शीर्ष पर रूट प्रमाणपत्र ऑफ़लाइन संग्रहण में है, और इसकी मदद से हर कई वर्षों में एक बार एक मध्यवर्ती प्रमाणपत्र बनाया जाता है जिसके साथ एक्सटेंशन पर हस्ताक्षर किए जाते हैं। यह अंतरिम प्रमाणपत्र था जो 4 मई को समाप्त हो गया था। फ़ायरफ़ॉक्स डेवलपर्स की ओर से पहला वर्कअराउंड एक पैच की रिहाई थी जो अस्थायी रूप से एक्सटेंशन प्रमाणपत्रों के सत्यापन को रोक देता है। अगर जांच से पहले इस तरह का पैच आपके पास उड़ गया, तो समस्या आपके पास हो गई है। इसके अलावा, डेवलपर्स के पास दो तरीके थे: या तो फ़ायरफ़ॉक्स की एक नई रिलीज़, या एक नया प्रमाणपत्र जारी करने के लिए, जो वर्तमान संस्करण में मान्य एक्सटेंशन हस्ताक्षर करेंगे। सभी परिवर्धन (15 हजार से अधिक) पर फिर से हस्ताक्षर करना असंभव था। अधिक सटीक, शायद, लेकिन इसमें बहुत लंबा समय लगा होगा।


तंग समय सीमा को देखते हुए (उन्हें 3 मई की शाम फ़ायरफ़ॉक्स में समस्या के बारे में पता चला, ज़ाहिर है, शुक्रवार को!), दोनों विकल्पों की जांच करने का निर्णय लिया गया। तकनीकी रूप से, एक नया प्रमाण पत्र जारी करने का एक अवसर था, क) इस प्रमाण पत्र को उत्पन्न करने के लिए आवश्यक था और ख) इसे जितनी जल्दी हो सके उपयोगकर्ताओं को वितरित करें। पहला भाग इस तथ्य से जटिल था कि रूट प्रमाणपत्र हार्डवेयर मॉड्यूल में संग्रहीत किया जाता है, जिसे अभी भी ( जंगल में? बैंक सेल में? ) तक पहुंचने की आवश्यकता है। इसके अलावा, जब डेवलपर्स को रूट सर्टिफिकेट मिला, तो नया इंटरमीडिएट सर्टिफिकेट जेनरेट करना तत्काल संभव नहीं था, और हर बार आवश्यक परीक्षणों के लिए एक या दो घंटे का नुकसान होता था। कैसे पहुंचाएं? ऐसा करने के लिए, हमने फ़ायरफ़ॉक्स स्टडीज तंत्र का उपयोग किया - वास्तव में, ऐड-ऑन वितरण प्रणाली "ब्राउज़र डेवलपर से", जो सामान्य मामलों में प्रयोगात्मक कोड के लिए अभिप्रेत है। यह एक नया बिल्ड बनाने और नियमित चैनलों के माध्यम से अपडेट भेजने की तुलना में तेजी से निकला।


लेकिन यहाँ एक ही गोपनीयता की समस्या उत्पन्न हुई। फ़ायरफ़ॉक्स स्टडीज़, एक प्रायोगिक प्रणाली के रूप में, केवल तब शामिल होती है जब ब्राउज़र उपयोग की जानकारी फ़ायरफ़ॉक्स डेवलपर्स को वापस भेजती है। यह बीटा परीक्षण के लिए तर्कसंगत है, लेकिन यह पैच देने के संदर्भ में थोड़ा अजीब लगता है जो सभी उपयोगकर्ताओं को आमतौर पर चाहिए। इस समस्या को हल किया गया था: फ़ायरफ़ॉक्स ने 4 मई से 11 मई तक प्राप्त सभी टेलीमेट्री को हटाने का फैसला किया।

यह एक आदर्श समाधान नहीं था। टेलीमेट्री डिसेबल (और स्टडीज) वालों को इन विकल्पों को मैन्युअल रूप से सक्षम करना पड़ा। कुछ बिल्ड में यह विकल्प बिलकुल नहीं है। ब्राउज़र का Android संस्करण अध्ययन का समर्थन नहीं करता है। फ़ायरफ़ॉक्स के पुराने संस्करणों के स्थायी रूप से प्रभावित उपयोगकर्ता जो अपडेट नहीं होना चाहते हैं, लेकिन ऐड-ऑन का उपयोग करते हैं। 8 मई को, फ़ायरफ़ॉक्स 66.0.5 और फ़ायरफ़ॉक्स ईएसआर 60.6.3 के संस्करण जारी किए गए थे, जिसमें प्रमाण पत्र के साथ समस्या को अंततः हल कर दिया गया था, और टेलीमेट्री के साथ अध्ययन की अब आवश्यकता नहीं थी। ब्राउज़र के पुराने संस्करणों के लिए अपडेट की योजना बनाई गई है, फ़ायरफ़ॉक्स 52 के साथ शुरू। समस्या हल हो गई थी, लेकिन कई उपयोगकर्ताओं के लिए यह एक ट्रेस के बिना पारित नहीं हुआ - एक्सटेंशन में डेटा हानि और सेटिंग्स के मामले हैं।

इस कहानी के दो निष्कर्ष हैं। सबसे पहले, फ़ायरफ़ॉक्स ने भविष्य में ऐसा होने से रोकने के लिए बुनियादी ढांचे में एक "टाइम बम" ट्रैकिंग सिस्टम स्थापित करने का वादा किया। दूसरे, यह स्पष्ट हो गया कि उपयोगकर्ताओं को पैच पहुंचाने के विभिन्न तरीकों के साथ एक या अधिक आधुनिक अपडेट वितरण प्रणाली भी उतनी प्रभावी नहीं है, जितनी हम चाहते हैं। सीटीओ फ़ायरफ़ॉक्स के अनुसार, ब्राउज़र उपयोगकर्ताओं को अपडेट और हॉटफ़िक्स प्राप्त करने में सक्षम होना चाहिए, भले ही वे किसी अन्य प्रयोगात्मक सुविधाओं और / या टेलीमेट्री को अक्षम करना चाहते हों। यह एक सुखद अंत की कहानी है, जो फ़ायरफ़ॉक्स के अपडेट तंत्र में सुधार का कारण बन सकती है, एक दुर्लभ मुख्यधारा ब्राउज़र जो किसी भी आईटी कंपनी से बंधा नहीं है। लेकिन यह मत भूलो कि वह अपने पैरों पर अलंकारिक शूटिंग के साथ शुरू हुई।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।