Mozilla ha prohibido las extensiones que contienen código ofuscado para proteger a los usuarios de Firefox de complementos maliciosos.

El jueves, Caitlin Neiman, administrador de la comunidad de complementos de Mozilla, dijo en un blog que la nueva política entrará en vigor el 10 de junio. Aquí está la esencia de esa nueva política: »Ya no aceptaremos extensiones que contengan código ofuscado. Continuaremos permitiendo el código minificado, concatenado o generado por máquina siempre que se incluya el código fuente. Si su extensión está utilizando código ofuscado, es esencial enviar una nueva versión que lo elimine antes del 10 de junio para evitar que se rechace o bloquee».

Bloquear, también llamado “lista de bloqueo“, complementos que contienen código ofuscado significa deshabilitarlos en el navegador después de que el usuario los instale, explicó Neiman.

Las extensiones que violan las políticas de Mozilla se enfrentarán a la ira de un Mozilla recientemente proactivo, dijo Neiman: »Estaremos lanzando una red más amplia, y cometeremos errores a favor de la seguridad del usuario al determinar si se debe bloquear o no».

Neiman dijo que Mozilla también seguirá bloqueando las extensiones que violen intencionalmente sus políticas o que tengan vulnerabilidades de seguridad críticas, o que comprometan la privacidad del usuario o eviten el consentimiento o control del usuario. Otras “sorpresas” inesperadas que Mozilla no quiere ver (sin una inscripción clara y especificando detalladamente lo que el complemento está solicitando) incluyen extensiones que cambien la configuración predeterminada, como la página de la nueva pestaña, la página de inicio o el motor de búsqueda; extensiones que hagan cambios inesperados en el navegador o contenido web; o aquellos con funciones o funcionalidades no relacionadas con la función central del complemento.

Mantengamos el navegador predecible

Después de todo, las sorpresas son divertidas cuando salen de los pasteles de cumpleaños, pero no de una extensión, Mozilla dice: »Las sorpresas… no son bienvenidas cuando la seguridad del usuario, la privacidad y el control están en juego. Es extremadamente importante ser lo más transparente posible al presentar un complemento. Los usuarios deben poder discernir fácilmente cuál es la funcionalidad de su complemento y que no presente experiencias de usuario inesperadas después de instalarlo».

No es la primera noticia que tenemos de Mozilla sobre esta nueva política de no ofuscación.

En agosto de 2018, eliminó 23 complementos, después de que un informe de que un complemento de seguridad hacia cosas raras. Mozilla había destacado ese complemento en una entrada de blog que promocionaba una serie de extensiones centradas en la seguridad del navegador. Pero cuando los expertos desarmaron el programa para descubrir exactamente lo que estaba haciendo, comprobaron que estaba asignando una identificación a cada usuario y enviando información etiquetada como “URL antigua” y “URL nueva” a una dirección IP consistente.

En un examen más a fondo, el ingeniero de Mozilla Rob Wu encontró otras 22 extensiones de navegador en la cartera de Firefox que tampoco realizaban nada bueno: un grupo que enviaba información de navegación a un servidor remoto que potencialmente podría lanzar un ataque de ejecución de código remoto en el cliente, y un segundo grupo que no recopilaba información sobre URLs pero que aún podía lanzar un ataque de ejecución de código remoto en el cliente.