Oude versies Firefox gaan slechter werken door verlopen rootcertificaat

Firefox-gebruikers met oude versies kunnen vanaf dit weekend te maken krijgen met slecht werkende add-ons en streamingplatforms die geen video's meer willen afspelen. Dat komt door het verlopen van een van Mozilla's rootcertificaten.

Het binnenkort verlopen rootcertificaat zit in alle versies van Firefox voor alle platforms tot versie 127, die in juni vorig jaar uitkwam, zegt Mozilla. Voor gebruikers van de Extended Support Release-versie gaat het om 115.3. Iedereen met Firefox 128 of hoger krijgt niet te maken met problemen, meldt Mozilla. Het gaat om de versies voor onder meer Windows, macOS, Linux en Android. De versie van Firefox voor iOS treft dit niet.

Door het verlopen rootcertificaat komen er problemen met updates van add-ons en drm, waarschuwt de browserbouwer. Gevolgen daarvan zijn onder meer dat add-ons niet meer werken en streamingplatforms geen video's meer willen afspelen. Mozilla raadt gebruikers aan te updaten naar een nieuwe versie. Op veel platforms gebeurt dat automatisch. De nu stabiele versie is 136.

Reacties (37)

[maanvaren]

Dit is te omzeilen wat betreft de add ons in de versie 115.9.0.esr
about:conig
xpinstall.signatures.required
toggle naar false

Op sommige sites werkt drm niet, bv sites van vrt maar dat is al een tijdje en niet gerelateerd aan deze timer.

[computerjunky]

In versie 88 die ik gebruikte is dit niet mogelijk.

Heb na 7 jaar maar een keer geupgrade na een account aan te maken, synchen naar de laptop en een handmatige profiel backup. het is zowaar goed gegaan voor de verandering. kostten me alleen wel een dag om alles weer enigszins naar wens te maken met een compacte cleane ui.

Helaas in heel veel browsers ineens wel een heel ander lettertype. ik had ooit ergens een google .css lettertype opbouw veranderd omdat ik dit lettertype niet prettig vind maar dat is onklaar gemaakt en dat moet ik nog zien te fixen.

[Reactie gewijzigd door computerjunky op 17 maart 2025 15:24]

[kodak]

In 2019 is dit verlopen al een keer heel erg mis gegaan voor gebruikers en ontwikkelaars. Bij Firefox staat het laten verlopen van een root certificaat en de gevolgen voor het oa onverwacht niet kunnen gebruiken van add-ons nog steeds bekend als "Armag-add-on".

Bij Mozilla hebben ze er een beetje van geleerd. Ze hebben dit keer wel bijgehouden dat een root certificaat op het punt staat te verlopen. En ze hebben na september 2024 pogingen gedaan de gebruikers te waarschuwen om ze gelegenheid te geven op tijd een nieuwere versie te gaan gebruiken.

Maar wat ze nog steeds niet doen is gebruikers willen vertrouwen zelf over de grenzen en gevolgen te beslissen. Dat een root certificaat vertrouwen moet geven wil niet zeggen dat als een root certificaat verloopt het vertrouwen dus maar spontaan helemaal weg moet zijn. Add ons kunnen nog prima functioneren als mozilla er geen verantwoordelijkheid meer in wil nemen. Maar in plaats van de keuze aan gebruikers te laten kiezen de ontwikkelaars voor het wantrouwen van zowel de add-ons als de gebruikers.
Een vergelijkbaar probleem met hoe ze omgaan met bewuste keuzes van gebruikers om bijvoorbeeld oudere versies te willen gebruiken zonder dat de ontwikkelaars zich bemoeien of dat na een bepaalde datum nog wel goed voor die gebruikers is. De ontwikkelaars dicteren wat goed voor de gebruikers is: updaten wanneer de ontwikkelaars het uit komt en anders verplicht uitschakelen van functionaliteit, alsof dat hoe dan ook maar beter is dan keuzes van gebruikers.

Dat veel gebruikers hulp nodig hebben om veilig te blijven valt niet te ontkennen. Maar blijven negeren dat je ook gebruikers hebt die bewust keuzes maken en eigen verantwoordelijkheid kunnen en willen nemen gaat wel heel ver. Zeker als je als ontwikkelaars ook nog eens niet vooraf duidelijk wil zijn hoe lang je software zonder updaten kan blijven gebruiken. De jongste versie die al problemen geeft is nog maar een paar maanden oud toen ze pas begonnen te waarschuwen dat die in maart al geen belangrijke ondersteuning meer zal hebben. En hoe de gebruikers dit hadden kunnen weten laten ze gemakshalve ook maar weg.

[Reactie gewijzigd door kodak op 13 maart 2025 18:24]

[Blokker_1999]

Dat een root certificaat vertrouwen moet geven wil niet zeggen dat als een root certificaat verloopt het vertrouwen dus maar spontaan helemaal weg moet zijn.

Euhm, dat is net het punt van een vervallen certificaat. Dat hoor je niet meer te vertrouwen. Anders had een certificaar nooit een einddatum moeten hebben en zouden we puur op CRLs kunnen werken.

De ontwikkelaars dicteren wat goed voor de gebruikers is: updaten wanneer de ontwikkelaars het uit komt en anders verplicht uitschakelen van functionaliteit, alsof dat hoe dan ook maar beter is dan keuzes van gebruikers.

In vele gevallen is dat absoluut wel correct. Een les die Microsoft ons geleerd heeft. Gebruikers die niet lopen te updaten omdat ze via via gehoord hebben dat dat gevaarlijk is, maar dan wel lopen klagen over bugs die al lang gefixed zijn of over hoe onveilig de software niet is. Nee, dat is blijkbaar beter.

Maar blijven negeren dat je ook gebruikers hebt die bewust keuzes maken en eigen verantwoordelijkheid kunnen en willen nemen gaat wel heel ver.

En hoe zouw je het verschil moeten zien tussen een gebruiker die weet waarmee hij bezig is, en een gebruiker die gewoon opvolgt wat het slimme neefjoe online hem verteld heeft?

En hoe de gebruikers dit hadden kunnen weten laten ze gemakshalve ook maar weg.

Een gemiddelde gebruiker moet dit niet weten. Die kan best zijn browser gewoon up-to-date houden.

[kodak]

Het is niet voor niets dat geen enkele RFC gebruikers verplicht maar ultiem vertrouwen in de ontwikkelaars te hebben als die bijvoorbeeld eenzijdig bepalen wat gebruikers maar als gevolgen moeten accepteren. Juist omdat in het verleden, zoals rond Microsoft, is gebleken dat die niet zomaar de beste keuzes voor gebruikers maken.

Dat certificaten geschikt zijn om in vertrouwen te gebruiken hoort dus ook door ontwikkelaars opgevat te worden niet zomaar wantrouwen in de gebruikers te hebben. Een root certificaat kunnen gebruiken om voor veilig gebruik te zorgen vraagt om rekening houden dat er voor gebruikers ook belangrijkere redenen kunnen zijn dan wat ontwikkelaars als risico's willen indekken.

[dmantione]

Dat is een conflict over wie de baas is op je computer. Ik ben ben resoluut van mening dat ik de baas hoor te zijn: Als ik een add-on vertrouw dan hoort mijn computer mij te gehoorzamen. En alhoewel ik best kan upgraden, ik heb een aantal systemen die wel een update kunnen gebruiken en ben er ook al een tijdje bezig, is dit wel een deuk in het vertrouwen tussen mij en Mozilla. Upgraden is zelden een kwestie van even op een knopje drukken, het kan een totale kettingreactie veroorzaken met afhankelijkheden van tot heb ik jou daar en het kan zelfs gebeuren dat goedwerkende hardware onbruikbaar wordt.

[DarkForce]

Dat is een conflict over wie de baas is op je computer. Ik ben ben resoluut van mening dat ik de baas hoor te zijn:

En dus ben je dat ook... je hebt tenslotte zelf de keus om FireFox te installeren en gebruiken of niet. Als het hierdoor niet voldoet aan je eisen en vertrouwen ben je geheel vrij het te verwijderen en een alternatief te installeren.

Het is dus zeker niet zo dat door het geen Mozilla doet, je geen baas over eigen computer bent. Wie FireFox installeert en gebruikt en ziet dat ze zich bezighouden met dit soort dingen heeft dus hoe dan ook de keus deze te verwijderen.

[dmantione]

Dat ben ik met je eens: Maar laat er geen twijfel over bestaan dat Mozilla hier ver over de grens gaat van wat ik acceptabel acht wat software mag doen. Als ik baas mijn over mijn computer ben, dan dient ook software mij te gehoorzamen. Dat kan er inderdaad toe leiden dat Firefox de deur uit gaat. In alles moet je voor- en nadelen afwegen, dus dat is geen gegeven, maar flik dit soort geintjes niet te vaak!

[LollieStick]

Ik vind de reactie vooral wat kortzichtig en aangeven wat jij vindt of hoe jij het wil. Mozilla heeft een grotere verantwoordelijkheid dan jou te pleasen. Het staat je vrij om de software aan te passen of om andere software te kiezen die daar soepeler mee om gaan. Feit is dat Mozilla een verantwoordelijkheid heeft om gebruikers zo veilig mogelijk te houden.

Jij kan misschien prima voor jezelf zorgen maar hele volksstammen kunnen dat niet en die dienen ook beschermd te worden. Denk je daar anders over, dan is Firefox wellicht niet het product voor jou.

Deze reactie is geenszins bedoeld om je in de voet te schieten

[dmantione]

Kijk, ik heb mijn eigen boontjes te doppen. Upgraden is niet altijd een optie, ik heb bijvoorbeeld nog een VM met Windows XP. En daar ga ik niet naar willekeurige sites mee browsen, dus veiligheid is geen kwestie, maar ik koop niets voor de arrogantie zeggen "Windows XP is oud en krijgt krijgt geen veiligheidsupdates meer", nee, dat weet ik ook wel, het dient voor legacy.

Mijn Commodore 64 is ook overbodig, maar niet onbruikbaar, ik gebruik hem zeer regelmatig. Ik ben van mening dat tijdbommen in apparatuur en software inbouwen nooit de oplossing is.

Wat betreft verantwoordelijkheid van Mozilla: Het is Mozilla die te kampen heeft met een marktaandeel van 2,5% en krimpende, het is dan ook aan Mozilla om blij te zijn met iedere gebruiker die ze hebben en voorkomen dat ze nog irrelevanter worden.

Lees nog even over vrijheid 0 van vrije software.

[Reactie gewijzigd door dmantione op 14 maart 2025 11:50]

[P_Tingen]

Veel software en apparaten (waaronder auto's) zouden een "Kop dicht, ik weet wat ik doe" knop moeten hebben voor die enkele keer dat je het écht beter weet. Er zijn nou eenmaal situaties waar de maker van de soft/hardware geen rekening mee kon houden, maar die toch voorkomen.

Dat de default werking er op gericht is om de gemiddelde gebruiker te beschermen is helemaal prima, maar geef dan wel ergens de mogelijkheid om er van af te wijken. Dat hoeft niet eens actief aangeboden te worden in de vorm van een vraag. Een programma moet helemaal niet vragen of het wel of niet moet updaten, maar dat automatisch doen. Die halve procent aan gebruikers die het willen tegenhouden, hebben dan ook wel genoeg kennis om de instellingen in te duiken om het aan te passen.

[LollieStick]

Als je er niet mee naar willekeurige sites surft, snap ik het probleem niet. Als het een interne site is, kan je SSL/TLS ook uitschakelen of wellicht een Self-signed certificaat gebruiken. Je kunt niet verwachten dat oude software altijd ondersteunt blijft en updates, in dit geval een certificaat update, zou moeten krijgen.

Opgeven van veiligheid omdat het marktaandeel krimpende is zorgt voor een nog sneller dalend aantal gebruikers.

Anyway, het staat je absoluut vrij andere software te gebruiken wat mogelijk beter aansluit bij de wensen. Ik vind alleen de toon van je post dusdanig uit eigen positie en denken geredeneerd dat ik vond dat ik daar op moest reageren.

[kujinshi]

Gevolg is wel dat heel veel mensen Firefox gaan verlaten. Omdat je geen oude versies meer kan draaien (zonder grote nadelen).

Firefox had toch beter dat certificaat kunnen regelen op tijd dat niemand in de problemen zou komen.

[LollieStick]

Vind ik niet

EOL is EOL. Daar komen geen updates meer voor. De life-cycle is ook al lang bekend dus volgens mij is dat ook een non-discussie. Een certificaat-update naar een browser sturen is dus ook een update. Wat is het volgende wat men dan verwacht dat de laatste beveiligingsupdates ook naar de antieke versie gebackport worden?

Blijf je willens en wetens oude software gebruiken dan weet je dat je op een gegeven moment een risico loopt of dat niet alles meer werkt. Gebruik je het enkel voor interne websites dan zijn er andere manieren om dit probleem, als je er al tegenaan loopt, te ondervangen. Je moet er misschien iets voor in je configuratie van je webserver aanpassen of wellicht kan het in de Firefox config in dit geval maar dat moet je er dan maar voor over hebben.

[gimbal]

Je bent geheel vrij de software te schrijven voor jouw computer die dat allemaal wel of niet doet. Je eigen OS bouwen is wel een dingetje helaas... en een browser ook.

De software van derden die je geïnstalleerd hebt om dat allemaal niet zelf te hoeven doen en bekostigen... komt met een EULA en werkt zoals de derde partij dat dicteert. Dat heb je geaccepteerd door het te installeren. Je mag daarna nog steeds over van alles een mening hebben, maar je eigen keuzes spreken je tegen.

[dmantione]

Nou, laten we vermelden dat Firefox openbronsoftware is en dat ik als ik mij boos maak desnoods zelf kan zorgen dat Firefox mij gehoorzaamt.

[Aldy]

als ik mij boos maak desnoods zelf kan zorgen dat Firefox mij gehoorzaamt.

Ik zou zeggen: Maak je boos en misschien kun je anderen met jouw oplossing helpen.

[beerse]

Misschien ten overvloede maar toch: Mozilla Firefox (en mogelijk ook thunderbird) hebben hier last van omdat zij standaard geen gebruik maken van de certificaten van het operating systeem maar daar een eigen implementatie en eigen database op na houden.

Daarmee: Als je certificaat issues vermoed, schakel dan tussen een firefox-browser en een systeem gebonden browser of chrome/chromium die standaard wel gebruik maakt van de certificaten van het operating systeem.

Als systeembeheerder is dit altijd mijn grote reden om zowel firefox als een andere browser beschikbaar te hebben op een operating systeem.

[kodak]

De discussie gaat over de last die Mozilla veroorzaakt bij gebruikers. Dat is een last die komt door de manieren waarop de ontwikkelaars om gaan met het feit dat certificaten nu eenmaal verlopen.

Dat je als gebruikers naar jou mening ook een andere browser kan gebruiken is geen oplossing voor het probleem specifieke oudere firefox versies te gebruiken waarvan ontwikkelaars eenzijdig menen dat die te veel risico voor de gebruikers zou vormen. Het doel van het gebruik is niet een alternatief gebruiken maar zelf genoeg kunnen afwegen wat te veel risico is.

[beerse]

Mijn reactie was niet om een andere browser te gebruiken maar vooral om daarmee te kunnen testen.

Over de ontwikkelaars van firefox en het gebruik van oude versies: In die oude versies worden ook de oude (root) certificaten gebruikt. Op het moment dat die oud versies uit komen zijn dat de courante versies van die certificaten. Nieuwere zijn gewoon nog niet uit. En het bijhouden/bijwerken van de (root) certificaten is voor firefox alleen mogelijk met een update/upgrade.

Dat maakt het gebruik van een oude versie van firefox dus inherent onveilig omdat je ook gebruik maakt van oude (root) certificaten. Zolang die nog wel geldig zijn is het gebruik nog wel te verantwoorden. Maar met (serieus) verlopen oude certificaten zou ik zelfs de update/upgrade niet door laten gaan, zoals je ook antieke (root) certificaten niet moet vertrouwen.

[kodak]

Wat is het doel van je voorstel om te testen dan? Dat zorgt er namelijk niet voor dat functionaliteiten die volgens de ontwikkelaars maar niet meer gebruikt mogen worden dan bruikbaar worden.

Het argument dat het verlopen van een root certificaat het inherrent onveilig maakt klopt niet. Een certificaat gaat om vertrouwen. Het feit dat de ontwikkelaars een datum kiezen en daarna zelf functionaliteiten uitschakelen wil niet zeggen dat een gebruiker perse maar minder risico loopt dan wanneer de gebruiker die functionaliteiten wil blijven gebruiken. De addons zijn bijvoorbeeld niet spontaan onveilig omdat ontwikkelaars besluiten dat een certificaat op een bepaalde dag verloopt. Er zijn genoeg situaties dat het verstrijken van de tijd minder belangrijk is dan waarom gebruikers een oude browser gebruiken.

[The Zep Man]

Voor gebruikers van de Extended Support Release-versie gaat het om 115.3.

Het bronartikel noemt dat deze ESR-variant (ondersteund tot augustus dit jaar) vanaf versie 115.13 dit probleem niet ondervindt. Dit is handig voor degenen die van ESR afhankelijk zijn.

[Reactie gewijzigd door The Zep Man op 13 maart 2025 16:18]

[SterkeYerke]

Voor de volledigheid: dat is de versie die draait op bijvoorbeeld Windows 7 (en nieuwer) en MacOS 10.12 Sierra (en nieuwer).

[Robbierut4]

Oof, windows 7, is daarvoor niet zelfs de extended support afgelopen waar je jaarlijks voor betaald? Ik hoop toch niet dat er veel mensen zijn die dat aan het open internet hangen. En zo niet, dan heb je ook geen browser nodig toch?

[SterkeYerke]

Veel mensen zullen het vast niet meer zijn, maar het gebeurt natuurlijk wel. Ik doe het zelf ook nog wel eens. Maar daar moet ik bij zeggen dat ik in ieder geval in januari nog gewoon een rollup van patches kreeg (via ESU uiteraard).

[gertvdijk]

Welk root CA certificaat verloopt nou precies op die datum? Ik kan het op de pagina van Mozilla zo snel niet vinden, men spreekt over 'het certificaat' alsof het ervoor zojuist benoemd zou zijn welke het is. Of mis ik nou iets?

update: Ik lees dat het gaat om een certificaat dat de add-on approval regelt, niet een rootcertificaat voor HTTPS-certificaatvalidatie. Het is dan ook geen certificaat uit de root CA trust store, maar een aparte die ingebakken zit in de applicatiecode. Het is daarom ook niet zo relevant om te weten wat er precies verloopt, omdat je het toch niet zelf kunt fiksen in de trust store (in browser or systeem settings afhankelijk van je OS).

[Reactie gewijzigd door gertvdijk op 13 maart 2025 16:54]

[Keypunchie]

Nee, beetje vaag.

Ook snap ik niet helemaal *wat* er nou verloopt. Als het een CA is in je truststore, lekker boeien, dan voeg je toch de nieuwe handmatig toe? (Als je zo'n oude FF draait, dan kan je dat ook wel).

Als het om een clientcertificaat gaat, waarmee contact (mTLS) wordt gelegd met truststores, dan is dat ook wat vreemd, want waarom zou je dat mTLS maken?

[Reactie gewijzigd door Keypunchie op 13 maart 2025 17:00]

[GertMenkel]

Het is het certificaat waarmee Mozilla dingen als addons ondertekent. Installeren/updaten van browseronderdelen en addons kan dus mis gaan. Dat los je niet even op door een certificaat te importeren, ik geloof niet dat Firefox de trust store zomaar vertrouwt als het om ondertekende addons gaat.

Het valt wellicht te proberen, maar aangezien er geen enkele niet-up-to-date browser is die hier last van heeft, is updaten de makkelijkste optie. Zelfs als je op een achtergelaten OS als Windows 7 zit, kun je naar de nieuwste ESR updaten waar het probleem niet in zit.

[Keypunchie]

ik neem toch aan dat Mozilla al een tijdje overgestapt zal zijn naar een nieuwe signer dan? Of gaan ze alles even omgooien dit weekend?

(Of gaan ze juist vanaf nu met de nieuwe signer beginnen?

Kortom, ik geloof het allemaal wel, ik draai de laatste versie, maar door niet precies te zijn, zaaien ze bij mij juist verwarring.)

[Reactie gewijzigd door Keypunchie op 13 maart 2025 17:48]

[GertMenkel]

Ze hebben een nieuwe CA en nieuwere versies van de software zijn al over, alleen mensen die hun browser niet updaten hebben hier last van. Daarom raden ze mensen nu ook aan om te updaten voordat het gezeur begint, want als je bij bent zijn de problemen weg.

Als je bijvoorbeeld ergens halverwege 2024 besloot nooit meer je browser bij te werken, dan ga je vage problemen krijgen. Installeer je gewoon updates voor je browser wanneer ze beschikbaar zijn (de standaardinstelling, op de achtergrond) dan merk je hier nooit wat van.

[locke960]

Je kan het nieuwe Mozilla root certificaat toch aan de certificaat database van Firefox toevoegen? Dan is updaten niet nodig. Ik zie niet waarom je niet zou willen updaten, maar toch.

edit: laat maar. Dit specifieke certificaat is hardcoded in de software.

[Reactie gewijzigd door locke960 op 13 maart 2025 17:10]

[TomONeill]

Ik had wat meer uitleg verwacht over waarom een verlopen certificaat dan zorgt voor slechter werkende add-ons. Dit is meer een "Mozilla zegt dit" artikel. Wat voor soort add-ons hebben we het ook over?

[FlorC]

Ik blijf gewoon bij versie 125. Zal wel zien of het echter slechter gaat werken.

[Marctraider]

Ik dacht altijd dat certificaten vanuit het OS worden geupdate naar de certificate store? Kan mij herinneren dat browsen zo goed als onmogelijk is als je deze bij bv een nieuwe Windows installatie blokkeert, ongeacht welke browser je gebruikt.

Hoe werkt dit dan icm. het verhaal hierboven?

[Reactie gewijzigd door Marctraider op 14 maart 2025 11:51]

[Henkje.doc]

Firefox heeft een eigen certificate store binnen de browser.

[DrBrakbek]

Je kan wel instellen dat firefox de MS store gebruikt.
Maar in dit geval gaat het over een hard coded cert in firefox zelf. Dus aanpassingen in de ms cert store of de firefox cert store zijn hierbij irrelevant.