<div dir="ltr">Otherwise it would be possible to create packages that download the extensions from Mozilla upon installation. This is the way the Flash Plugin works (not a good example, but still possible).<div><br></div><div>Trusting any extension from the system directory would break the system, and thus I suspect the patches to be quite difficult to maintain over time.</div></div><div class="gmail_extra"><br><div class="gmail_quote">2015-11-08 23:17 GMT+01:00 Benjamin Drung <span dir="ltr"><<a href="mailto:bdrung@debian.org" target="_blank">bdrung@debian.org</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">reassign 804266 iceweasel 40.0-1<br>
forcemerge 800150 804266<br>
thanks<br>
<br>
On Sun, 27 Sep 2015 14:01:08 +0200 Kurt Roeckx <<a href="mailto:kurt@roeckx.be">kurt@roeckx.be</a>> wrote:<br>
> Mozilla is in the progress of requiring extentions to be signed,<br>
> which I think is a good thing.  However, for Debian packages we<br>
> already have it signed by the Developer uploading it, I see no<br>
> need to have Mozilla also sign it.  I suggest we don't warn /<br>
> disable about extentions installed on the system, but do require<br>
> the signature for those that are installed by browser itself.<br>
><br>
> As I understand it it's possible to have Mozilla's signature<br>
> installed by the Debian package, and I guess it would be nice to<br>
> have packages do that, but I see no need to require them to do<br>
> that and most don't seem to do that even though the upstream<br>
> version has been signed by Mozilla already.<br>
<br>
Shipping signed extensions in Debian packages is no options, because<br>
then we could only ship unmodified, pre-build extensions. That<br>
contradicts the Debian Free Software Guidelines (DFSG) #3 and signed<br>
extensions are not the preferred source for modification.<br>
<br>
So, please allow unsigned extensions installed in the system directory.<br>
Everyone having write access to the system directory would probably<br>
also have access to the files of Iceweasel and could tinker with it.<br>
<br>
This severity of this bug will raise when Mozilla will reject unsigned<br>
extensions (planned for Firefox 44).<br>
<span class="HOEnZb"><font color="#888888"><br>
--<br>
Benjamin Drung<br>
Debian & Ubuntu Developer<br>
<br>
<br>
</font></span></blockquote></div><br></div>