代码签名证书过时，Mozilla数百万Firefox用户遭遇扩展禁用

5月4日（GMT）早上，Mozilla的Firefox用户怨声载道，大量用户打开浏览其发现扩展插件没法使用，手机版也是如此。有报道称，此现象是因为Firefox底层SSL根证书过时所致使的，但据咱们了解，这是因为AMO使用的代码签名证书无效所致使的，Firefox私有中间证书过时导致代码签名证书无效，从而致使插件验证没法经过。Mozilla Add-ons，也称为AMO，是一个为Mozilla产品查找和安装Add-ons的资源，用于签名和验证插件。

下图所示为AMO证书链，签名证书（也称为end-entity证书）由Firefox私有PKI的一个中间证书颁发，且为每一个插件都签发有单独的签名证书。国际CA的中间证书有效期通常为5~10年，而Firefox的只有2年，首先2年的证书有效期很容易被人忽略，其次对于证书到期Firefox却无感知，可见Firefox在管理证书方面很是不严谨，不由令用户担心用于插件的代码签名私钥的安全问题。证书到期现象多发生在用户的HTTPS站点上，建议你们使用专业的证书管理工具，例如KeyManager.org或MySSL.com的证书到期提醒服务。

下图为Firefox私有中间证书，红框所示为中间证书到期日。

 

证书过时致使：

1.插件没法安装。

2.已经安装的插件没法使用

 

早先的 Firefox 没有强制必须经过 AMO 签名插件，用户能够自行选择代码签名证书，而且分发渠道分散，致使生态内部安全风险比较高。但如今政策调整为：正式版、beta版的安装插件必须被AMO签名，Nightly和Developer Edition能够加载未签名的插件。

扩展/插件签名的官方说明：Add-ons/Extension Signing

提交插件到AMO签名的官方说明：签名和分发你的扩展

 

 

【来自SSL China】