5月4日（GMT）早上，Mozilla的Firefox用戶怨聲載道，大量用戶打開(kāi)瀏覽其發(fā)現(xiàn)擴(kuò)展插件無(wú)法使用，手機(jī)版也是如此。有報(bào)道稱，此現(xiàn)象是由于Firefox底層SSL根證書過(guò)期所導(dǎo)致的，但據(jù)我們了解，這是由于AMO使用的代碼簽名證書無(wú)效所導(dǎo)致的，F(xiàn)irefox私有中間證書過(guò)期致使代碼簽名證書無(wú)效，從而導(dǎo)致插件驗(yàn)證無(wú)法通過(guò)。Mozilla Add-ons，也稱為AMO，是一個(gè)為Mozilla產(chǎn)品查找和安裝Add-ons的資源，用于簽名和驗(yàn)證插件。 下圖所示為AMO證書鏈，簽名證書（也稱為end-entity證書）由Firefox私有PKI的一個(gè)中間證書頒發(fā)，且為每個(gè)插件都簽發(fā)有單獨(dú)的簽名證書。國(guó)際CA的中間證書有效期一般為5~10年，而Firefox的只有2年，首先2年的證書有效期很容易被人忽略，其次對(duì)于證書到期Firefox卻無(wú)感知，可見(jiàn)Firefox在管理證書方面非常不嚴(yán)謹(jǐn)，不禁令用戶擔(dān)憂用于插件的代碼簽名私鑰的安全問(wèn)題。證書到期現(xiàn)象多發(fā)生在用戶的HTTPS站點(diǎn)上，建議大家使用專業(yè)的證書管理工具，例如KeyManager.org或MySSL.com的證書到期提醒服務(wù)。
下圖為Firefox私有中間證書，紅框所示為中間證書到期日。
證書過(guò)期導(dǎo)致：
1.插件無(wú)法安裝。
2.已經(jīng)安裝的插件無(wú)法使用
早先的 Firefox 沒(méi)有強(qiáng)制必須通過(guò) AMO 簽名插件，用戶可以自行選擇代碼簽名證書，并且分發(fā)渠道分散，導(dǎo)致生態(tài)內(nèi)部安全風(fēng)險(xiǎn)比較高。
但現(xiàn)在政策調(diào)整為：正式版、beta版的安裝插件必須被AMO簽名，Nightly和Developer Edition可以加載未簽名的插件。
擴(kuò)展/插件簽名的官方說(shuō)明：
Add-ons/Extension Signing
提交插件到AMO簽名的官方說(shuō)明：
簽名和分發(fā)你的擴(kuò)展
圖文來(lái)源：【SSL China】
聯(lián)系客服
