Alfonso Maruccia

Firefox, Mozilla verificherà tutte le estensioni

La fondazione del Panda Rosso ha annunciato l'imposizione di una nuova policy per gli sviluppatori di add-on, un modo per rafforzare la sicurezza del browser open

Roma - Il 2015 porterà cambiamenti importanti per gli sviluppatori di add-on per Firefox, ha annunciato Mozilla, cambiamenti che dovrebbero garantire miglioramenti sul fronte delle performance e della sicurezza ma che necessiteranno di uno sforzo di supporto non secondario da parte dei suddetti sviluppatori.

La prima novità annunciata da Mozilla coincide con la verifica di tutte le estensioni installabili su Firefox, una pratica automatica - o manuale, nel caso la prima fallisse - che costringerà anche il più piccolo sviluppatore a passare i test della fondazione, alla ricerca di codice malevolo o potenzialmente pericoloso.

Non tutte le estensioni supportate da Firefox dovranno necessariamente essere presenti sul repository ufficiale (AMO) come già succede su Google Chrome, spiega Mozilla, ma tutte le estensioni dovranno essere verificate dai server della fondazione per continuare a funzionare normalmente.
Il radicale cambio di rotta verrà implementato durante il secondo trimestre dell'anno, annuncia Mozilla, e non riguarderà i progetti secondari della fondazione (Thunderbird e Seamonkey). L'obbligo di verifica degli add-on varrà per tutte le future versioni stabili e Beta di Firefox e non potrà essere disattivato in alcun modo, mentre per le versioni Developer e Nightly tutto continuerà come prima.

Una scappatoia verrà invece garantita alle organizzazioni che fanno uso di add-on non pensati per l'utilizzo pubblico.

Alfonso Maruccia
Notizie collegate
  • TecnologiaAustralis, il nuovo chrome di FirefoxMozilla introduce la nuova GUI del proprio browser promettendo velocità, bellezza. Australis è destinata a essere integrata in tutte le diverse edizioni di Firefox. Per ora soltanto nelle build sperimentali notturne
23 Commenti alla Notizia Firefox, Mozilla verificherà tutte le estensioni
Ordina
  • a parte le psicosi su adblock/noscript (che non hanno senso[*]), ci sono alcune reali lagnanze... la prima direi
    a) There are lots of old non AMO extensions around and without the option of turning signing off the majority of Firefox users will never be able to test them or possibly improve them. ... che si mischia con quelli che usano estensioni vecchie su browser + nuovi "perche tanto funziona" e affini. La faccenda li obbliga a usare una build diversa o a non usare l'estensione

    b) la rottura per i developer (tipicamente quelli che sono fuori da AMO), che devono COMUNQUE prender parte al giro, anche se l'estensione non sara' li' pubblicata.... questo -potrebbe- rendere la vita fastidiosa ad estensioni 'hot', (fermo restando [*]), tipo videograbber e co... odiate da hollywood o da 'coltellini svizzero' (alla netcat). Dipende quanto sara' bachettone il team..

    Comunque capisco anche i pro- di questa scelta........

    [*] in astratto potrebbero, ma a parte che i sorci sono pubblici, e' proprio gia' previsto che certe build ignorino la signature di AMO... quindi a che pro "censurare" adblock, app notissima e gia in AMO, se poi lo puoi usare con build differente?
    ( Installation of unsigned extensions will still be possible on Nightly and Developer Edition, as well as special, unbranded builds of Release and Beta that will be available mainly for developers testing their extensions
    )
    non+autenticato
  • >
    > b) la rottura per i developer (tipicamente quelli
    > che sono fuori da AMO), che devono COMUNQUE
    > prender parte al giro, anche se l'estensione non
    > sara' li' pubblicata.... questo -potrebbe-
    > rendere la vita fastidiosa ad estensioni 'hot',
    > (fermo restando [*]), tipo videograbber e co...
    > odiate da hollywood o da 'coltellini svizzero'
    > (alla netcat). Dipende quanto sara' bachettone il
    > team..
    >

    Sono d'accordo, perché a parte le estensioni "hot" ci sono estensioni che non sono di per se "legali" ovunque e non sto qui ad elencarle, come certi proxy più o meno anonimizer.

    La scelta quindi di non rientrare nell'AMO in quel caso penso sia abbastanza forzata per non rendere la vita difficile nè agli uni (cioè i realizzatori dell'estensione) nè agli altri (cioè Mozilla).

    Se i criteri per rientrare nella validazione sono gli stessi dell'AMO allora sono guai seri per chi ne fa uso e la cosa può diventare preoccupante.
    non+autenticato
  • google fa tutte le verifiche delle app tramite il repository dello store, ma anche in questo caso ci sono app con malware, ergo non serve a una cippa.
    non+autenticato
  • - Scritto da: robocoppo
    > google fa tutte le verifiche delle app tramite il
    > repository dello store, ma anche in questo caso
    > ci sono app con malware, ergo non serve a una
    > cippa.

    Google non ha il codice sorgente delle app.
    Mozilla invece grossomodo ce l'ha (è quasi tutto codice JS interpretato).
    Detto ciò, andare a leggere e comprendere il codice altrui di migliaia e migliaia di addons... in bocca la lupo...
    non+autenticato
  • - Scritto da: ...

    > Google non ha il codice sorgente delle app.

    potrebbe essere vero per le parti scritte con il NDK, ma una normale app Java è semplicissima da decompilare

    > Detto ciò, andare a leggere e comprendere il
    > codice altrui di migliaia e migliaia di addons...
    > in bocca la
    > lupo...

    è questo il vero problema

    non è pensabile che questi signori paghino migliaia di persone per fare l'auditing del codice
    non+autenticato
  • - Scritto da: collione
    > - Scritto da: ...
    >
    > > Google non ha il codice sorgente delle app.
    >
    > potrebbe essere vero per le parti scritte con il
    > NDK, ma una normale app Java è semplicissima da
    > decompilare
    >
    > > Detto ciò, andare a leggere e comprendere il
    > > codice altrui di migliaia e migliaia di
    > addons...
    > > in bocca la
    > > lupo...
    >
    > è questo il vero problema
    >
    > non è pensabile che questi signori paghino
    > migliaia di persone per fare l'auditing del
    > codice

    Io non capisco il problema.
    Fin dai tempi delle BBS giravano eseguibili con virus o malware.

    Non e' tanto diverso oggi che ci sono gli add-on o le app.

    L'errore e' quello di pretendere di realizzare un sistema a prova di utonto.

    Sarebbe molto piu' semplice accettare che l'utonto e' tale e delegare all'intelligenza della gente la propria sicurezza.

    Se sullo store c'e' una app BelenRodriguezNuda, lo dice il nome stesso della app che si tratta di malware.
  • - Scritto da: panda rossa
    > - Scritto da: collione
    > > - Scritto da: ...
    > >
    > > > Google non ha il codice sorgente delle
    > app.
    > >
    > > potrebbe essere vero per le parti scritte
    > con
    > il
    > > NDK, ma una normale app Java è semplicissima
    > da
    > > decompilare
    > >
    > > > Detto ciò, andare a leggere e
    > comprendere
    > il
    > > > codice altrui di migliaia e migliaia di
    > > addons...
    > > > in bocca la
    > > > lupo...
    > >
    > > è questo il vero problema
    > >
    > > non è pensabile che questi signori paghino
    > > migliaia di persone per fare l'auditing del
    > > codice
    >
    > Io non capisco il problema.
    > Fin dai tempi delle BBS giravano eseguibili con
    > virus o
    > malware.
    >
    > Non e' tanto diverso oggi che ci sono gli add-on
    > o le
    > app.
    >
    > L'errore e' quello di pretendere di realizzare un
    > sistema a prova di
    > utonto.
    >
    > Sarebbe molto piu' semplice accettare che
    > l'utonto e' tale e delegare all'intelligenza
    > della gente la propria
    > sicurezza.
    >
    > Se sullo store c'e' una app BelenRodriguezNuda,
    > lo dice il nome stesso della app che si tratta di
    > malware.

    Certo ma se sull'app center di Firefox c'è un'addon
    "ScaricaTuttoSuper" gli utonti non sanno che dietro
    ci potrebbe essere un malware, ergo il controllo
    preventivo di Mozilla è lungimirante e quantomeno
    opportuno oggigiorno.
  • - Scritto da: sentinel

    > > Se sullo store c'e' una app
    > BelenRodriguezNuda,
    > > lo dice il nome stesso della app che si
    > tratta
    > di
    > > malware.
    >
    > Certo ma se sull'app center di Firefox c'è
    > un'addon
    > "ScaricaTuttoSuper" gli utonti non sanno che
    > dietro
    > ci potrebbe essere un malware,

    C'e' il forum coi commenti degli utenti, ci sono i sorgenti, c'e' tutto.
    Chiunque puo' autonomamente verificare o accedere ai risultati delle verifiche fatte da qualcuno.

    In mancanza di tutto questo, l'app resta la' dov'e'.

    Se l'utonto e' affetto da download compulsivo, in tal caso mozilla non fa per lui.
    Che usasse IE e si arrangiasse.
  • - Scritto da: robocoppo
    > google fa tutte le verifiche delle app tramite il
    > repository dello store, ma anche in questo caso
    > ci sono app con malware, ergo non serve a una
    > cippa.

    Mi spiace dirtelo ma Google non fa assolutamente verifiche sul Malware, per quanto ne so, solo Apple e Nokia/Microsoft le fanno.

    Quando invii una APP allo store di Google è sottoposta ad una procedura automatizzata di scansione su eventuale codice di hacking e non se l'applicazione fa quello per cui è stata progettata, se poi installi una torcia e lei manda SMS a pagamento, siccome il sistema dei permessi te lo dice prima, loro non ne hanno colpa.

    Stessa cosa immagino valga per le estensioni di Chrome che sono soggette allo stesso tipo di permessi.
    non+autenticato
  • No, in realtà Google ha acquistato aziende specializzate in questo tipo di cose e continua a rafforzare il suo market.
    Ma ovviamente non è mai abbastanza.
    non+autenticato
  • - Scritto da: Jaguaro
    > No, in realtà Google ha acquistato aziende
    > specializzate in questo tipo di cose e continua a
    > rafforzare il suo
    > market.
    > Ma ovviamente non è mai abbastanza.

    Io ricord che per i programmi in Symbian sul vecchio Nokia che colleghi stavano sviluppando, oltre all'acquisto di chiavi e roba incredibile, c'era una procedura di "submission" in cui si spiegava che ci sarebbe stato un checkup e dopo circa una settimana, ti arrivava il benestare e la pubblicazione sullo store.

    Su android c'è "pubblication" e il tempo di passaggio dalla realizzazione allo store è di una o due ore (loro dicono 24 max), per non parlare degli updates.

    Dubito fortemente che superino un controllo formale.

    Su Apple store invece non so come funzionano, se qualcuno qui lo sa e ce lo potesse dire, sarebbe interessante.
    non+autenticato
  • - Scritto da: Luppolo

    > Su Apple store invece non so come funzionano, se
    > qualcuno qui lo sa e ce lo potesse dire, sarebbe
    > interessante.

    Semplice: paghi e preghi.
  • Il potere è mio e me lo gestisco io.
    Per il bene degli utenti, ovvio...
    non+autenticato
  • - Scritto da: Liut
    > Il potere è mio e me lo gestisco io.
    > Per il bene degli utenti, ovvio...

    Non si tratta di potere ma di sicurezza degli utonti
    che scaricano ed installano schifezze a destra e a sinistra.
  • Ben venga la verifica, ma il fatto che il blocco "non potrà essere disattivato in alcun modo" secondo me non è positivo: l'utente dovrebbe sempre poter decidere, anche contro i proprii interessi, se lo desidera.

    Temo il giorno in cui AdBlock(Plus) e NoScript saranno cacciati perché "ritenuti pericolosi" (per le casse dei pubblicitari)...........
    non+autenticato
  • - Scritto da: Jack
    > Ben venga la verifica, ma il fatto che il blocco
    > "non potrà essere disattivato in alcun modo"
    > secondo me non è positivo: l'utente dovrebbe
    > sempre poter decidere, anche contro i proprii
    > interessi, se lo
    > desidera.

    Concordo.

    >
    > Temo il giorno in cui AdBlock(Plus) e NoScript
    > saranno cacciati perché "ritenuti pericolosi"
    > (per le casse dei
    > pubblicitari)...........

    Quel giorno (se mai dovesse arrivare) li scaricheremo dal loro sito invece che dallo store.

    C'e' una bella differenza tra lo scegliere di entrare in un recinto dal quale si puo' uscire in qualunque momento, e l'essere costretti a venir chiusi in una gabbia della quale solo il carceriere possiede la chiave (che butta via).
  • > >
    > > Temo il giorno in cui AdBlock(Plus) e NoScript
    > > saranno cacciati perché "ritenuti pericolosi"
    > > (per le casse dei
    > > pubblicitari)...........
    >
    > Quel giorno (se mai dovesse arrivare) li
    > scaricheremo dal loro sito invece che dallo
    > store.

    Il problema è che l'articolo dice che anche se non ci sarà l'obbligo di pubblicare tutte le estensioni sullo store, tutte dovranno ricevere (non so bene come, a questo punto) un qualche tipo di controllo (un OK preventivo? Un kill switch a posteriori?) da Mozilla. E non sarà possibile disattivare il blocco, è quello il problema temuto da Jack.

    Non so in che modo vogliano gestire le estensioni realizzate per uso "interno" nelle organizzazioni...
    non+autenticato
  • - Scritto da: Ciccio
    CUT
    >
    > Il problema è che l'articolo dice che anche se
    > non ci sarà l'obbligo di pubblicare tutte le
    > estensioni sullo store, tutte dovranno ricevere
    > (non so bene come, a questo punto) un qualche
    > tipo di controllo (un OK preventivo? Un kill
    > switch a posteriori?) da Mozilla. E non sarà
    > possibile disattivare il blocco, è quello il
    > problema temuto da
    > Jack.

    Trovate sempre problemi anche dove non ci sono affatto...
    L'articolo dice chiaramente che:
    "per le versioni Developer e Nightly tutto continuerà come prima"
    cioè se uno vuole installare estensioni non verificate
    è libero di installarsi una di queste versioni per continuare
    a fare come faceva prima.

    > Non so in che modo vogliano gestire le estensioni
    > realizzate per uso "interno" nelle
    > organizzazioni...

    Probabilmente verrà spiegato loro come bypassare
    il check di integrità, ma a loro rischio e pericolo...
    Occhiolino
    -----------------------------------------------------------
    Modificato dall' autore il 16 febbraio 2015 16.30
    -----------------------------------------------------------
  • Quindi se Mozilla deciderà in maniera arbitraria di eliminare una certa tipologia di estensioni, per non far frignare certe entità, devo usare versioni instabili del loro prodotto?
  • - Scritto da: Sg@bbio
    > Quindi se Mozilla deciderà in maniera arbitraria
    > di eliminare una certa tipologia di estensioni,
    > per non far frignare certe entità, devo usare
    > versioni instabili del loro
    > prodotto?

    Noooooooo puoi usare le versioni Developer e Nightly
  • - Scritto da: Jack

    > Temo il giorno in cui AdBlock(Plus) e NoScript
    > saranno cacciati perché "ritenuti pericolosi"
    > (per le casse dei
    > pubblicitari)...........

    Quello sarà (sarebbe, corna facendo) il giorno della morte di Firefox (e di Mozilla).
  • - Scritto da: Elrond
    > - Scritto da: Jack
    >
    > > Temo il giorno in cui AdBlock(Plus) e NoScript
    > > saranno cacciati perché "ritenuti pericolosi"
    > > (per le casse dei
    > > pubblicitari)...........
    >
    > Quello sarà (sarebbe, corna facendo) il giorno
    > della morte di Firefox (e di
    > Mozilla).

    Hanno forkato OpenOffice, figurati Mozilla...
    2678
  • - Scritto da: gerry
    > - Scritto da: Elrond
    > > - Scritto da: Jack
    > >
    > > > Temo il giorno in cui AdBlock(Plus) e NoScript
    > > > saranno cacciati perché "ritenuti pericolosi"
    > > > (per le casse dei
    > > > pubblicitari)...........
    > >
    > > Quello sarà (sarebbe, corna facendo) il giorno
    > > della morte di Firefox (e di
    > > Mozilla).
    >
    > Hanno forkato OpenOffice, figurati Mozilla...

    Anzi, di Firefox di fork c'è ne stanno già aiosa