2 pièce(s) jointe(s)
Mozilla va supprimer le sideloading d'extensions de son navigateur dès l'année prochaine
Mozilla va supprimer le sideloading d'extensions de son navigateur dès l'année prochaine,
suite à de nombreuses plaintes indiquant que ce mécanisme a été utilisé pour télécharger des applications malveillantes
Mozilla a annoncé que Firefox abandonnerait le support du sideloading d'extensions en 2020. L'organisation a déclaré que cette modification, qui devrait être finalisée avec la sortie de Firefox 74, "donnera aux utilisateurs plus de contrôle sur leurs extensions".
Comme l'explique l'annonce de Mozilla, le sideloading (littéralement le chargement latéral) est "une méthode permettant d'installer une extension dans Firefox en ajoutant un fichier d'extension à un emplacement spécial à l'aide d'un programme d'installation d'exécutable d'application". Cette méthode a été initialement créée pour aider les développeurs d'applications de bureau. Au cas où ils souhaiteraient distribuer une extension Firefox avec leur application de bureau, les développeurs pourraient configurer le programme d'installation de l'application de manière à ce qu'ils déposent un fichier d'extension Firefox XPI dans le dossier du navigateur Firefox.
Le sideloading d'extensions peut être utile dans la mesure où il facilite l'installation d'une extension sur plusieurs instances de Firefox sur un seul appareil. Mozilla a également indiqué dans sa documentation officielle sur le sideloading que cette fonctionnalité peut être utilisée pour installer les versions des extensions que les développeurs souhaitent tester avant de les publier publiquement.
Mais ces usages semblent ne pas faire de contrepoids aux abus. Dans un billet, Mozilla note que :
« Le sideloading d'extensions pose souvent des problèmes aux utilisateurs, car ils ne choisissent pas explicitement de les installer et ne peuvent pas les supprimer du gestionnaire de modules complémentaires. Ce mécanisme a également été utilisé par le passé pour installer des logiciels malveillants dans Firefox. Pour donner aux utilisateurs plus de contrôle sur leurs extensions, la prise en charge du sideloading d'extensions sera interrompue.
« Nous avons entendu des commentaires exprimant la confusion sur la façon dont ce changement donnerait plus de contrôle aux utilisateurs de Firefox. Depuis que nous avons implémenté le signalement des abus dans Firefox 68, le type de rapport le plus fréquemment utilisé est l’installation d’extensions inattendues et ne pouvant pas être supprimée. De plus, les extensions signalées sont distribuées via le sideloading. Avec cette modification, nous imposons plus de transparence dans le processus d’installation en laissant aux utilisateurs le choix d’installer ou non une extension d’accompagnement d’application et en leur permettant de la supprimer quand ils le souhaitent. Les développeurs seront toujours libres de distribuer eux-mêmes des extensions sur le Web et les utilisateurs pourront toujours installer des extensions distribuées par eux-mêmes. Les administrateurs d'entreprise pourront continuer à déployer des extensions à leurs utilisateurs via des stratégies. D'autres formes de déploiement d'extension automatique telles que celles utilisées pour certaines distributions Linux et des applications telles que Selenium peuvent être affectées par ces modifications. Nous étudions toujours certains détails techniques relatifs à ces cas et nous tenterons de trouver le juste équilibre entre le choix de l'utilisateur et une perturbation minimale ».
Une phase de suppression en deux phases
En conséquence, Mozilla prévoit de ne plus prendre en charge cette fonctionnalité l'année prochaine dans un plan en deux phases.
La première aura lieu avec la publication de Firefox 73 en février 2020. Caitlin Neiman de Mozilla a déclaré que Firefox continuerait à lire les extensions téléchargées, mais qu'elles seraient lentement converties en add-ons normaux dans le profil Firefox de l'utilisateur et disponibles dans la section Extension du navigateur.
En mars 2020, avec la publication de Firefox 74, Mozilla prévoit de supprimer complètement la possibilité de faire un sideloading d'extensions. À ce stade, Mozilla espère que toutes les extensions chargées de cette manière seront déplacées dans la section des modules complémentaires des utilisateurs.
Mozilla espère également contribuer au nettoyage de certaines sideloading d'extensions sur Firefox lancées par des auteurs de programmes malveillants dans le dos de leurs utilisateurs. Puisque ces extensions apparaîtront maintenant dans les sections Add-ons, les utilisateurs pourront supprimer toutes les extensions dont ils n’ont pas besoin ou qu'ils ne veulent pas.
De plus, le billet de blog s'adresse aux développeurs d'extensions, qui devront mettre à jour leurs extensions et les rendre disponibles via un autre mécanisme d'installation.
Il existe actuellement deux autres moyens par lesquels les développeurs peuvent distribuer des extensions et par lesquels les utilisateurs peuvent les installer.
Le premier et le plus connu consiste à installer des extensions à partir du portail officiel addons.mozilla.org (AMO). Les extensions répertoriées ici sont vérifiées par Mozilla, donc la plupart sont relativement sûres, bien que les contrôles de sécurité ne permettent pas à 100% de capturer tout le code malveillant.
La seconde implique l'utilisation de l'option "Installer le module complémentaire à partir du fichier" de la section des modules complémentaires de Firefox. Les utilisateurs doivent télécharger manuellement un fichier d'extension Firefox XPI, visiter la section des modules complémentaires, puis utiliser l'option "Installer le module complémentaire à partir du fichier" pour charger l'extension dans leur navigateur. Cette option est généralement utilisée pour charger des extensions qui doivent gérer des données d'entreprise sensibles dans des environnements d'entreprise et qui ne peuvent pas être distribuées via le portail AMO.
Il existait également une quatrième méthode de chargement des extensions dans Firefox, mais celle-ci avait été supprimée en septembre 2018 avec la publication de Firefox 62. Elle impliquait de modifier les clés de registre Windows pour charger des extensions personnalisées avec des installations de Firefox. Certains développeurs malveillants en ont également abusé et Mozilla a décidé de le supprimer.
Source : Mozilla
Et vous ?
:fleche: Avez-vous installé des extensions sur votre navigateur ? Quels types d'extensions (loisirs, culture, travail, etc.) ?
:fleche: Quel mécanisme utilisez-vous pour installer vos extensions ?
:fleche: Que pensez-vous de la décision de Mozilla ?
