Mozilla exigirá firma digital en las extensiones

En un esfuerzo para combatir el problema de la gran cantidad de extensiones, complementos y plug-ins maliciosos, Mozilla planea comenzar a exigir a los desarrolladores que sus extensiones sean firmadas digitalmente. Hay un número incalculable de extensiones útiles para la mayoría de los navegadores, pero también abundan los 'malos'. Los atacantes los usan para robar datos de los usuarios o realizar otras acciones maliciosas.

Para combatir requiere a sus desarrolladores distribuir sus extensiones sólo a través de la tienda web de Chrome pero Mozilla no quiere tomar ese camino.
"Somos responsables de nuestro ecosistema de Add-ons y no podemos quedarnos ociosos viendo como nuestros usuarios sufren. Una solución fácil sería obligar a todos los desarrolladores distribuir sus extensiones a través de la tienda, como lo hace Google para extensiones de Chrome. Sin embargo, creemos que obligar a todos a instalar las extensiones a través de nuestro canal de distribución es una restricción innecesaria. Para mantener este equilibrio, hemos considerado la firma de extensiones, lo cual nos dará mejor supervisión sobre el ecosistema de Add-ons y no forzaremos que nuestra tienda sea el único canal de distribución adicionales", dijo Jorge Villalobos de Mozilla.

La idea es que en algún momento del segundo trimestre del año, Mozilla comenzará a exigir que las extensiones y complementos a los desarrolladores. Cada presentación pasará por un proceso de revisión para garantizar que no exhibe comportamientos maliciosos o indocumentados. Si el proceso resulta correcto y el desarrollador cumple la guía de desarrollo, Mozilla firmará la extensión para luego publicarla a través de la tienda o a través del canal que el desarrollador desee.

El cambio significará que después de un período transitorio de tres meses, los usuarios no podrán instalar  extensiones sin firmar. Villalobos dijo que la compañía planea comenzar a exhibir advertencias acerca de las extensiones sin firmar en Firefox 39.

Fuente: ThreatPost.