Firefox add-on, Mozilla spiega cosa è successo

Lo scorso weekend è accaduto un fatto piuttosto increscioso a Firefox: all’improvviso sono state disattivate tutte le estensioni. Mozilla ha impiegato quasi due giorni per ripristinare il loro normale funzionamento, prima mediante un fix temporaneo e successivamente con due aggiornamenti, l’ultimo dei quali è Firefox 66.0.5 per desktop e Android. La fondazione ha ora fornito maggiori informazioni sul problema.

Gli add-on permettono di aggiungere funzionalità di terze parti a Firefox. Attualmente sono disponibili oltre 15.000 add-on, ognuno dei quali deve essere firmato digitalmente prima della distribuzione. Il processo prevede l’uso di tre certificati, uno dei quali denominato “certificato intermedio” è condiviso tra tutte le estensioni. Questo è il certificato che Mozilla ha lasciato scadere, causando la disattivazione di tutti gli add-on installati. Per limitare i danni è stata disattivata la firma per i nuovi add-on, visto che il certificato era scaduto.

Perché Mozilla ha impiegato due giorni per risolvere il problema? In teoria sarebbe stato sufficiente generare un nuovo certificato per firmare gli add-on. Questa soluzione è stata scartata in quanto avrebbe richiesto la firma di oltre 15.000 estensioni e l’installazione delle nuove versioni da parte degli utenti. Invece è stato installato un certificato intermedio di ricambio con scadenza 2025, ma con la stessa chiave pubblica di quello vecchio. La procedura è piuttosto complessa, per cui gli add-on sono stati nuovamente attivati dopo circa 48 ore.

Alcuni utenti non hanno ricevuto l’aggiornamento perché usano vecchie versioni di Firefox e quindi add-on non compatibili con le versioni più recenti. Mozilla ha promesso un fix per le versioni da 52 a 60, ma consiglia di passare alle più recenti. Il sistema degli add-on verrà migliorato per evitare simili problemi in futuro. Inoltre sono previste modifiche per accelerare il rilascio degli aggiornamenti. Mozilla ha comunicato infine che tutti i dati raccolti dalla telemetria, dopo l’attivazione degli Studi, verranno eliminati.