El pasado fin de semana, un fallo en Firefox provocó que buena parte de los usuarios del navegador no pudieran utilizar sus extensiones, ya que estas estaban bloqueadas. El problema se originó a causa de un certificado caducado, que acabó desactivando los complementos de los usuarios.
Eric Rescorla, Director de tecnología en Mozilla, explica detalladamente cómo vivieron este problema desde el equipo, así como la forma de proceder para brindar las actualizaciones necesarias para solucionarlo en el menor tiempo posible.
Detectando el error
Rescorla nos cuenta que, actualmente, hay más de 15.000 complementos en Firefox, y que todos ellos están firmados digitalmente para proteger a los usuarios. A la hora de firmar dichos complementos, es necesario un certificado raíz, que se almacena offline en un módulo de seguridad de hardware (HSM).
Este certificado se utiliza para firmar otro certificado, el intermedio. Este certificado intermedio es el que utilizan cuando un complemento solicita ser firmado, por lo que casi todos los complementos comparten dicho certificado.
Por motivos de seguridad, el certificado tiene un periodo fijo durante el que es válido, por lo que si se solicita la firma fuera de dicho periodo, los complementos no pueden verificarse, por lo que tampoco pueden cargarse en Firefox.
Desde Firefox cuentan que el certificado intermedio (el que te hemos dicho que firma la mayoría de complementos) caducó a las tres de la mañana (horario europeo) del pasado sábado 4 de mayo. Esto, provocó que todos los complementos que se firmaron con dicho certificado no pudieran verificarse, provocando así el famoso problema. La falla no estaba prevista principalmente, porque se esperaba una renovación automática del certificado, que nunca llegó a suceder.
Ante la pregunta de por qué Mozilla no intervino de inmediato, responden que Firefox no comprueba continuamente la validez de los certificados. El periodo de verificación se hace cada 24 horas, por lo que no pudieron ser conscientes al momento de lo que estaba sucediendo.
Proceder, soluciones y lecciones para el futuro
Rescorla cuenta que, a priori, si el problema era que el certificado había dejado de ser válido, se podría pensar que para arreglar el problema bastaría con generar otro certificado válido. Esta solución no era viable, según cuenta. En primer lugar, porque el servicio de firma que utilizan no está preparado para firmar de forma masiva, algo que ralentizaría el proceso de firmar los más de 15.000 complementos.
En segundo lugar, cuentan que algunos complementos se alojan en los servidores de Mozilla, y que tras firmarse de nuevo, sería necesario que los usuarios actualizasen manualmente cada uno de ellos. Es por esto, que Mozilla optó por parchear Firefox, para minimizar las soluciones manuales, y ponerle las cosas algo más fáciles a los usuarios.
Para ello, generaron un certificado de reemplazo (en lugar de uno nuevo) con fecha válida, y parcheron el navegador para que lo aceptase en sustitución del caducado. Como curiosidad, Rescorla comenta que no sabían si esto iba a funcionar o no, aunque por suerte, acabó haciéndolo.
Finalizando con las explicaciones, Mozilla intenta dejar claro de nuevo por qué tardaron "tanto" en enviar la actualización. En primer lugar, explican que emitir el nuevo certificado intermedio lleva su tiempo, ya que se necesita acceder al certificado raíz físico del que hablamos anteriormente. Esto implicó que un ingeniero de Mozilla tuviera que conducir hasta el lugar donde se almacenaba dicho certificado raíz.
En segundo lugar, el proceso de sustituir los certificados también llevaba tiempo, teniendo que hacer varias pruebas antes de enviarlo al sistema (enviar un certificado que firma miles de complementos sin previa comprobación puede ocasionar un desastre).
Desde Mozilla se enorgullecen de haber logrado una solución pronta (a pesar de que los usuarios demandasen aún más premura), aunque admiten que esto no debería hacer sucedido, y que harán mejoras en sus procesos para intentar minimizar problemas similares.
Vía | Hacks.mozilla
Ver 14 comentarios