Mozilla Flux

Mozilla関係の情報に特化したブログです。

速報:Firefoxの拡張機能にデジタル署名を必須とする措置が延期に 完全実施はバージョン44から(追記あり)

2015年2月に発表され、各所で議論を巻き起こしたFirefoxのアドオン署名義務化。より正確には、拡張機能を公開する前に、Mozillaの審査とデジタル署名を受けなければ、Firefoxへのインストールができなくなる措置を指す。

The Future of Developing Firefox Add-ons | Mozilla Add-ons Blog和訳)でも言及されていたとおり、この措置は段階を踏んで行われる。これまでのスケジュールによれば、Firefox 41では、未署名の拡張機能は初期設定で無効化されるものの、署名の強制を無効化できる設定項目(xpinstall.signatures.required)が用意され、この設定をfalseにすれば未署名の拡張機能も使用できるのに対し、Firefox 42では、BetaおよびReleaseチャンネルにおいて上記設定項目も廃止されることになっていた。

しかし、上記措置の実施は延期された(Bug 1203584)。具体的には、2リリースぶん後ろにずれ、Firefox 43で未署名の拡張機能無効化+有効化する設定あり、Firefox 44で未署名の拡張機能無効化+有効化する設定なしとなる。その結果、Firefox 42までは未署名の拡張機能を使える状況が続くことになる(配布元を確認して慎重に使用することを求める警告は表示される)。Firefox 43のリリース予定日は2015年12月15日なので、今から3か月程度はこれまでどおり、というわけだ。

延期の理由は今のところ明らかにされていないが、Mozilla Add-ons(AMO)における準備の進捗や、アドオン開発者の対応状況、既存ユーザーの意見などは考慮されているだろう。また、WebExtensionsの初期実装がFirefox 42で公開され、マルチプロセス化(e10s)がFirefox 43で初期設定において有効化されるのだとすると、デジタル署名の強制をFirefox 44で確定させることにして、影響の大きな措置を実施する時期が重ならないようにしたとも考えられる。

(15/09/13追記)
既にAddons/Extension Signing - MozillaWikiも本文と同様の内容へと修正されている。

また、Firefox/AddOns/Status/20150911 - MozillaWikiには、以下のとおり延期の理由とおぼしき記載がみられる。

Per discussion in the last couple weeks, there's concern around what the impact to end-users will be once add-on signing is required by Firefox. Consensus is that we're not quite ready to enforce it, and we're going to continue developer outreach and burning down the existing review queues to ensure we have as many addons as possible updated and signed.

過去数週間の議論によれば、Firefoxがアドオンのデジタル署名を必須化した場合、エンドユーザーに与えるインパクトについて懸念がある。我々はそれを強制する準備が整っているとはいえず、引き続き開発者への働きかけを行うとともに、既存のレビュー待ちを一掃して可能な限り多くのアドオンがアップデートし、デジタル署名を受けられるようにしていくということについて、意見の一致を見た。

上記の延期理由とは別に、気になる記載もある。早ければFirefox 44において、デジタル署名の目的を損なわない形で開発者モードを提供することを検討しているというのだ。その詳細は不明だが、これまでの計画では、同じFirefoxのバージョン(たとえば44)でも、Nightly/Auroraチャンネルの段階ならば設定の変更だけで未署名の拡張機能をインストールできるのに対し、Beta/Releaseチャンネルの段階に至ってしまうと別途ノーブランド版を使用しなければ、未署名の拡張機能をインストールできないことになっていた。おそらく、開発モードは、アドオン開発者がBeta/Releaseチャンネルでも製品版を使用して開発ができる機能を指すのだろう。

(15/09/18追記)
米国日付の9月16日、Extending the deadline for add-on signing | Mozilla Add-ons Blog和訳)が公開され、デジタル署名を必須化する時期を延期することが正式発表された。発表中で、必要な変更を実装する十分な時間がないという開発者の声に配慮した点が強調されているのは、記事が開発者向けのものだからだろう。

なお、レビュー待ちが増加していることへの対策として、非公開(Unlisted)アドオンの本審査を申請すると、アプリケーション・インストーラの一部として配布しない限り、非公開(Unlisted)アドオンの本審査は不要である旨のプロンプトが表示されるようになった(Bug 1186369)。