无品牌的构建版本 Firefox 已发布

Firefox 的无品牌构建版本（unbrand version）是 Firefox 推出的一个可以在正式版和 Beta 版关闭扩展签名检查的一个版本。背景是 Firefox 正在推广附加组件签名检查，所有未获得签名的扩展将无法在正式版和 Beta 版里面使用。而对于附加组件开发者来说，这也相当麻烦，开发附加组件的时候只能选择使用 FDE 或 Nightly 来测试扩展，而正式版和 Beta 版由于禁止关闭签名检查，会导致它们无法有效在这些版本中测试扩展。

目前 48.0 版本的无品牌构建版已发布（只有 en-US 一个语言）：https://wiki.mozilla.org/Add-ons/Extension_Signing#Unbranded_Builds
目前该版本有bug，就是会自动更新为有品牌的 Firefox 正式版或beta版，目前官方正在解决这个问题，大家可以先新建一个配置文件夹并关闭该版本的自动更新功能（app.update.enabled 可设置为 false）。

如果一切顺利的话，Firefox 48 稳定版到来的时候会推出一个无品牌版本，所知道的不同之处就在于它支持用户关闭扩展签名检查，也就是在 about:config 里面可以设置 xpiinstall.signatures.required 为 false。其他还有什么区别还不知道。

http://www.ghacks.net/2016/07/30/firefox-unbranded-build-downloads/

那以后就把这个版本当正式版了。

以后就用这个好了 night还是有点不稳定

inoreader 几乎打不开
不过我猜这是指向 ghacks 的文章？标题一样
http://www.ghacks.net/2016/07/15/those-unbranded-firefox-version-coming/

官方 blog 早前也提到了
https://blog.mozilla.org/addons/2016/07/13/add-ons-update-84/

The unbranded builds, which were the final piece, are available here. We will update the Extension Signing doc with more information about how to obtain them.

如果仅仅是禁用扩展签名的话，那签名真的是没卵用，碍事

跳票这么久，还以为要取消了。

未签名的扩展需要用户 输入验证码 进行验证安装，加以可能是病毒木马的风险提示就可以了

mozilla 的人脑袋不会转弯

catcat520：未签名的扩展需要用户 输入验证码 进行验证安装，加以可能是病毒木马的风险提示就可以了

mozilla 的人脑袋不会转弯回到原帖

验证码Mozilla提供？Mozilla如何确保扩展是安全的。风险提示事实证明没用，只是推卸责任的手段而已，出了问题用户还是会骂Mozilla。这招chrome的扩展已经用过了。

fang5566：验证码Mozilla提供？Mozilla如何确保扩展是安全的。风险提示事实证明没用，只是推卸责任的手段而已，出了问题用户还是会骂Mozilla。这招chrome的扩展已经用过了。回到原帖

mozilla 只需要告诉用户 未签名的扩展就是木马和病毒，如果你作死要用，请输入验证码开启使用，产生的一切后果概不负责。 在各大安全buglist十几年没见到火狐的扩展出过问题，不知道这个出问题的逻辑和结论是怎么得出来的 ,另外真的遇到火狐用户出了问题，难道禁用了未签名的扩展，就以为用户不会把责任推给火狐吗，流氓软件和用户，我一直认为用户比流氓软件更流氓

catcat520：mozilla 只需要告诉用户 未签名的扩展就是木马和病毒，如果你作死要用，请输入验证码开启使用，产生的一切后果概不负责。 在各大安全buglist十几年没见到火狐的扩展出过问题，不知道这个出问题的逻辑和结论是怎么得出来的 ,另外真的遇到火...回到原帖

catcat520：未签名的扩展需要用户 输入验证码 进行验证安装，加以可能是病毒木马的风险提示就可以了

mozilla 的人脑袋不会转弯回到原帖

重点之一是，恶意软件可以篡改配置文件，改成你已经同意任何安装。而软件设计时强制，想改就只能改exe了（大概），破坏数字签名。

官博正式宣布
https://blog.mozilla.org/addons/2016/07/29/extension-signing-availability-of-unbranded-builds/
wiki 已更新
https://wiki.mozilla.org/Add-ons/Extension_Signing#Unbranded_Builds

无自动更新
仅 en_US
而且目前还有严重 bug 会更新成 firefox -_-

目前这种目录结构也不方便自动化测试
不可能每次版本更新都要让人重新配置自动化测试

yfdyh000：重点之一是，恶意软件可以篡改配置文件，改成你已经同意任何安装。而软件设计时强制，想改就只能改exe了（大概），破坏数字签名。回到原帖

目前的强制方法
直接修改 omni.ja 即可绕过

catcat520：mozilla 只需要告诉用户 未签名的扩展就是木马和病毒，如果你作死要用，请输入验证码开启使用，产生的一切后果概不负责。 在各大安全buglist十几年没见到火狐的扩展出过问题，不知道这个出问题的逻辑和结论是怎么得出来的 ,另外真的遇到火...回到原帖

不说之前（强制签名之后）安全人员特意构造的恶意扩展过了审核正常上架
这周有人爆出了一系列有问题的扩展
看了下直接点名的 6 个扩展的上架日期
都几年前的了
甚至有的还有一星 review 表示这是个恶意扩展
直到这次被爆谋智才紧急下架处理
相关的 bug 1289264 目前还是访问受限

对了
虽然目前要求强制签名的只有扩展
但谋智一年前就考虑要对语言包也要求强制签名了
https://bugzilla.mozilla.org/show_bug.cgi?id=1197876