Negli ultimi anni sono diventati sempre più comuni i componenti aggiuntivi malevoli, che possono modificare le impostazioni di Firefox senza il consenso dell'utente o sottrarre dati sensibili. Alcuni di questi componenti si presentano sotto forma di barre degli strumenti o pulsanti indesiderati, modificano il comportamento delle ricerche o iniettano malware nel dispositivo in uso. In questo articolo viene spiegato come la firma dei componenti aggiuntivi serve a proteggere Firefox da queste minacce.

Che cosa si intende per firma dei componenti aggiuntivi

I componenti aggiuntivi che si conformano ad una serie di linee guida vengono sottoposti da Mozilla ad un processo di verifica e vengono "firmati" in modo da essere certi che i dati utente non vengano sottratti o manipolati. Tutti i componenti aggiuntivi ospitati sul sito addons.mozilla.org devono passare questo processo di revisione prima di essere verificati e firmati. I componenti aggiuntivi ospitati su siti diversi devono seguire le stesse linee guida per essere firmati da Mozilla.

La firma dei componenti aggiuntivi è finalizzata unicamente alla protezione dal malware e da altre azioni malevole sul browser. Non implica quindi alcun controllo o censura dei contenuti delle pagine visitate.

Che tipo di protezione offre la firma dei componenti aggiuntivi

Le versioni più recenti di Firefox (40 e superiori) proteggono l'utilizzatore dal malware e da altri programmi di controllo del browser visualizzando un messaggio di avvertimento e bloccando i componenti aggiuntivi di terze parti che non sono firmati digitalmente e verificati da Mozilla. Per utilizzare questa nuova caratteristica è necessario aggiornare Firefox all'ultima versione.

Sebbene in Firefox sia già implementato un sistema di blocco dei componenti aggiuntivi pericolosi, sta diventando sempre più difficile catalogare e bloccare il crescente numero di componenti aggiuntivi malevoli. Il nuovo sistema di firma richiede che gli sviluppatori si conformino alle linee guida di Mozilla per lo sviluppo in modo da assicurare che i componenti aggiuntivi da loro realizzati siano sicuri. In presenza di un componente aggiuntivo non firmato verrà visualizzato un messaggio di avvertimento ma sarà ancora possibile installare il componente aggiuntivo a proprio rischio.

Con questa protezione, solamente i componenti aggiuntivi firmati digitalmente e verificati possono essere installati in Firefox. Sebbene fosse già implementato un sistema di blocco dei componenti aggiuntivi pericolosi, sta diventando sempre più difficile catalogare e bloccare il crescente numero di componenti aggiuntivi malevoli. Il nuovo sistema di firma richiede che gli sviluppatori si conformino alle linee guida di Mozilla per lo sviluppo in modo da assicurare che i componenti aggiuntivi da loro realizzati siano sicuri.

Tipi di componenti aggiuntivi per cui è necessaria la firma

La firma è necessaria solamente per le estensioni (componenti aggiuntivi che introducono nuove funzionalità in Firefox) mentre non è necessaria per i temi, i pacchetti per le lingue e i plugin.

Componenti aggiuntivi non firmati

Tutti i componenti aggiuntivi installati dal sito ufficiale dei componenti aggiuntivi per Firefox sono sottoposti a un rigoroso processo di revisione prima che siano pubblicati. Essi sono sempre firmati e verificati.

Quando si installa un componente da un sito diverso, viene controllata la presenza della firma digitale prima che sia possibile installarlo.