Add ons wurden deaktiviert

Einfach abwarten. Mozilla testet und fixt schon.

Hallo,

bei mir wurden ebenfalls alle Ad-ons deaktiviert (Ubuntu-Version 66.0.3).
Unter Mozilla las ich, dass ich in der Config die Einstellungen für xpinstall.signatures.required und extensions.langpacks.signatures.required auf false ändern muß und dann findet keine Zertifikate-Prüfung mehr statt. Hab ich gemacht und es hat geklappt.
Hab ich jetzt dadurch ein erhöhtes Risiko für Malware (ich nutz ja nur die Add-ons, die ich schon seit Jahren nutze)?

Viele Grüße und bewahrt die Ruhe
Anja

Ich kann mir eigentlich kaum vorstellen, dass sich extensions.langpacks.signatures.required auf etwas anderes als Sprachpakete auswirkt, ebenso, dass diese Einstellung überhaupt in Firefox 66.0.3 funktioniert, da Signaturprüfungen normalerweise auf diesem Release-Kanal überhaupt nicht abgeschaltet werden können. Aber ja, unter der Annahme, dass es funktioniert, wäre es ein Sicherheitsrisiko.

Zitat von Anja85

Hallo,

bei mir wurden ebenfalls alle Ad-ons deaktiviert (Ubuntu-Version 66.0.3).
Unter Mozilla las ich, dass ich in der Config die Einstellungen für xpinstall.signatures.required und extensions.langpacks.signatures.required auf false ändern muß und dann findet keine Zertifikate-Prüfung mehr statt. Hab ich gemacht und es hat geklappt.
Hab ich jetzt dadurch ein erhöhtes Risiko für Malware (ich nutz ja nur die Add-ons, die ich schon seit Jahren nutze)?

Viele Grüße und bewahrt die Ruhe
Anja

Von dem Workaround hab ich auch gelesen. Würde das aber nur machen, wenn das Fixen viel zu lange dauert.
Erhöhtes Risiko nicht auszuschließen, da man ja nicht mit Sicherheit weiß, was das Zertifizierungsproblem ausgelöst hat. THEORETISCH kann da ja ein großer Hack dahinter stehen. (Zertifizierungsdatenbank geknackt)
Ich würde besser den Browser schließen und nach einer Stunde oder so wieder probieren und erst wenn das Problem behoben ist, die Addons reaktivieren.

xpinstall.signatures.required auf false bringt auch nichts beim aktuellen Firefox 66.0.3 (release Kanal) sondern NUR bei Developer oder Nightly-Build-Versionen. Da hat Heise.de einfach mal irgendwo abgeschrieben und diesen "Tipp" raus gehauen. :roll:

Ich verstehe die Aufregung nicht, der Firefox reagiert doch richtig! Keine Zertifizierung --> Sicherheit ist nicht gegeben --> Add-ons werden deaktiviert. Ich würde mir da eher Gedanken machen, wenn ein Browser in solch einem Fall nicht reagieren würde!

Zitat von Zitronella

xpinstall.signatures.required auf false bringt auch nichts beim aktuellen Firefox 66.0.3 (release Kanal) Da hat Heise.de einfach mal irgendwo abgeschrieben und diesen "Tipp" raus gehauen. :roll:

Stimmt, hab ich auch gelesen, dass der Trick nur bei Entwicklerversionen funktioniert.

"In den Firefox-Versionen ESR (Extended Support Release), Developer Edition und Nightly können Sie die Einstellung zum Erzwingen der Erweiterungs-Signierung überschreiben. Dazu ändern Sie im Konfigurationseditor für Firefox (der Seite about:config) die Einstellung xpinstall.signatures.required auf false. Um die Anforderung zur Signierung von Sprachpaketen zu überschreiben, ändern Sie die Einstellung extensions.langpacks.signatures.required auf false. Es gibt auch spezielle Versionen von Firefox, die diese Überschreibung zulassen. Weitere Informationen liefert der englischsprachige Artikel Add-ons/Extension Signing im Mozilla Wiki. "

https://support.mozilla.org/de/kb/Add-on-S…ource=inproduct

Zitat von madperson

das datum des systems auf gestern zurückzusetzen, müsste für den moment wohl klappen...

Danke für den Hinweis. Gerade getestet und es funktioniert zumindest vorläufig ohne das etwas deaktiviert wird. Schau mer mal :roll:

Zitat von Sören Hentzschel

Der Fehler ist, dass die Überprüfung fehlschlägt, und die schlägt fehl, weil das Zertifikat nicht mehr passt. Seitens Firefox gibt es hier keinen Fehler. Es ist ein rein serverseitiges Problem.

Mmh, wie kann ich mir das vorstellen? Ist der Server hinüber oder die dort liegenden Zertifikate?

Moin Sören,

schönen Dank für die Risiko-Einschätzung zur Zertifikate-Deaktivierung.

Dass das bei meiner FF Version klappt hängt wohl mit Ubuntu als Betriebssystem zusammen. Ob der zu erwartende Fix auch gleich für Ubuntu funtioniert glaub ich eher nicht. Wenn ein Update einer FF-Version rauskommt braucht Ubuntu auch immer 1-2 Wochen um das Umzusetzen. Mal sehen - ich kann ja auch über eine Live-DVD serven.

Gruß
Anja

Stoiker: Der Server ist nicht hinüber, es ist ein Zertifikat abgelaufen. Das Problem kennt man ja wahrscheinlich auch von Webseiten, das ist im Prinzip genau das Gleiche.

Ist bei mir eben auch passiert alle Addons sind weg das gleiche Problem wie bei den anderen und sowas hatte ich nie gehabt.

Mit der Anleitung ...

https://stackoverflow.com/questions/3195…403531#42403531

... bleiben mir die Add-Ons jetzt erhalten und es lassen sich auch wieder welche aus dem Mozilla-Store installieren.

Bei mir das selbe, aber erst nach einiger Zeit.

Dieser Tipp mit ...

Zitat

Wer auf seine installierten Add-ons keinesfalls verzichten will, kann das Problem mit einem Fix umgehen: In der Browser-Konfiguration (about:config) setzt man dazu den Wert xpinstall.signatures.required auf false (Browser anschließend neustarten). Damit werden die Add-ons wieder aktiviert – unter about:addons sind sie jedoch weiterhin mit einer Warnung markiert, dass sie für die Verwendung nicht verifiziert werden konnten. Achtung: Das Abschalten dieses Features stellt ein Sicherheitsrisiko dar! Man sollte es später unbedingt wieder auf true setzen.

... funktioniert bei mir nicht.

Edit: Eine wirkliche Lösung bzw. wenn es nicht eh schon per System-Add-on installiert wurde.

https://www.camp-firefox.de/forum/viewtopi…art=75#p1111098

Zitat von Zitronella

Das wird seit eben als hotfix via System-Add-on ausgerollt https://storage.googleapis.com/moz-fx-normand….0.2-signed.xpi also wer nicht abwarten kann, bis es automatisch passiert, einfach Link anklicken und installieren.

Laut User-Agent nutzt du Firefox 66. Auf dem Release-Kanal kann die Signaturprüfung, wie gesagt, nicht abgeschaltet werden.

Zitat von Sören Hentzschel

Das ist wirklich ausgesprochener Unsinn. Bitte nutze die Suchmaschine deiner Wahl, wenn du nicht weißt, wie Zertifikate arbeiten, bevor du solch abenteuerlichen Theorien in den Raum wirfst. Da ich selbst Programmierer bin, reagiere ich sehr allergisch auf vollkommen unbegründete Schuldzuweisungen der Art "Die dummen Programmierer".

Davon abgesehen zeigt dieser Fall, dass alles korrekt funktioniert. Es ist das erwartete und gewollte Verhalten, dass Erweiterungen deaktiviert werden, wenn sie nicht verifiziert werden können. Der Fehler ist nicht, dass die Erweiterungen deaktiviert werden. Der Fehler ist, dass die Überprüfung fehlschlägt, und die schlägt fehl, weil das Zertifikat nicht mehr passt. Seitens Firefox gibt es hier keinen Fehler. Es ist ein rein serverseitiges Problem.

Das Wort "dumm" nutze ich in meinem Vokabular nicht.

Es funktioniert eben nicht "alles" korrekt. Vielleicht funktioniert das, was die FF-Entwickler bisher programmierten, korrekt.
Doch ich erinnere gern an Murphy's Law. Es kam zu einer unerwünschten Konsequenz. Folglich sollte man das Design, die Konstruktion, das Programm oder was auch immer, ändern, damit diese Konsequenz nicht wieder auftritt. Auf andere Schuldige zu verweisen, hilft für die Zukunft kaum. Wenn ein serverseitiges Problem in der Zertifikatüberprüfung den Firefox derart beeinträchtigt, darf man ja mal darüber nachdenken, Firefox gegen solche Funktionseinschränkungen zu immunisieren.

Firefox müsste ja die Addons nicht gleich deaktivieren. Ein Hinweis an die Nutzer, dass die Zertifikatsüberprüfung zurzeit nicht funktioniert und man deshalb besonders vorsichtig sein soll, hätte vielen Nutzern sicherlich genügt.

Zitat von Foxfailure

Das Wort "dumm" nutze ich in meinem Vokabular nicht.

Es ging um die Darstellung als dumm, nicht um die Verwendung bestimmter Worte. Lebostein hat die Programmierer als dumm dargestellt. Darauf hatte ich geantwortet und du hast meine Antwort an ihn zitiert und damit für ihn die Argumentation fortgesetzt. Nach seiner Ansicht war es Dummheit der Programmierer (wörtlich: "Als Programmierer von Firefox würde ich mich jetzt gewaltig schämen!").

Zitat von Foxfailure

Es funktioniert eben nicht "alles" korrekt. Vielleicht funktioniert das, was die FF-Entwickler bisher programmierten, korrekt.
Doch ich erinnere gern an Murphy's Law. Es kam zu einer unerwünschten Konsequenz. Folglich sollte man das Design, die Konstruktion, das Programm oder was auch immer, ändern, damit diese Konsequenz nicht wieder auftritt.

Das ist hier nicht zutreffend, weil sich Firefox, wie erklärt, absolut korrekt verhält. Ein Fehler von Firefox würde dann vorliegen, wenn es nicht so wäre.

Zitat von Foxfailure

Auf andere Schuldige zu verweisen, hilft für die Zukunft kaum. Wenn ein serverseitiges Problem in der Zertifikatüberprüfung den Firefox derart beeinträchtigt, darf man ja mal darüber nachdenken, Firefox gegen solche Funktionseinschränkungen zu immunisieren.

Aus Sicht von Firefox liegt hier keine Funktionseinschränkung vor. Firefox funktioniert in dieser Sache exakt so, wie es gewünscht ist. Die Funktionseinschränkung mag für den Nutzer vorliegen, aber Firefox verhält sich so, wie er bewusst entwickelt wurde.

Zitat von Foxfailure

Firefox müsste ja die Addons nicht gleich deaktivieren. Ein Hinweis an die Nutzer, dass die Zertifikatsüberprüfung zurzeit nicht funktioniert und man deshalb besonders vorsichtig sein soll, hätte vielen Nutzern sicherlich genügt.

Was du da vorschlägst, ist technisch überhaupt nicht umsetzbar. Firefox kann schließlich nicht wissen, ob ein technsiches Problem oder nicht doch ein Angriff auf die Infrastruktur vorliegt. Das Ergebnis wäre in beiden Fällen das Gleiche. Und Firefox muss dann die Erweiterungen deaktivieren. So funktioniert diese Sicherheits-Maßnahme. Ansonsten würde der potentielle Angreifer ja einfach ein technisches Problem vorgaukeln und die ganze Maßnahme wäre für den Hugo. Dann könnte man die Signaturen auch wieder abschaffen.

Es sind ja hier einige Ratschläge zum besten gegeben worden.
Die Leute, die meinen, es zu wissen, sollen doch einen stabilen Browser entwickeln und ihn dann nutzen. Evtl. auch Anderen zur Verfügung stellen, das sie diesen dann auch "zerlegen" können, weil was Ihrer Meinung nach nicht so ist, wie Sie es gerne hätten.

Macht Euch doch nicht verrückt. Das wir den Fuchs so nutzen können, wie wir ihn nutzen und anpassen möchten, ist doch das gute an Firefox. Ich kenne keinen anderen Browser, der so anpassungsfähig ist.

Wenn denn mal was nicht läuft, ist es so. Ohne die Anpassung(en) vorher, d. h. die Freigabe der WebExtensions und der ganze Scripte und Codes, war auch vieles nicht so, wie wir es gerne nutzen wollen und haben es trotzdem genutzt.

Also Ruhe bewahren, es wird alles wieder. Wenn es denn halt etwas länger dauert, ist es halt so aber nicht zu ändern.

Zitat von Sören Hentzschel

es ist ein Zertifikat abgelaufen. Das Problem kennt man ja wahrscheinlich auch von Webseiten, das ist im Prinzip genau das Gleiche.

Echt? Ein Zertifikat läuft ab und das sorgt dann dafür das bei sehr vielen Usern so ziemlich alle Erweiterungen stillgelegt werden?!

Edit:
was bei mir bis dato funktioniert ist: das Datum auf den gestrigen Tag zurücksetzen.

Ich weiß ehrlich gesagt nicht, wieso du das "ein" mit Fettschrift hervorhebst. Natürlich betrifft das Zertifikat alle Nutzer (alle Nutzer, bei denen ein Validierungsversuch stattgefunden hat). Wie ich schon sagte: Es ist das Gleiche wie mit Webseiten. Läuft das Zertifikat ab, können Nutzer die Webseite nicht mehr besuchen.

Das wird seit eben als hotfix via System-Add-on ausgerollt. Also wer nicht abwarten kann, bis es automatisch passiert, einfach diesen Link anklicken --> https://storage.googleapis.com/moz-fx-normand….0.2-signed.xpi und installieren.