硬核观察 #580 每一次下载的 Firefox 安装包都含有唯一识别码
更多：• 开源软件包 node-ipc 植入反俄代码遭到抨击 • Mozilla 和 Open Web Docs 在 MDN 上携手合作
Firefox MDN NPM
171.223.198.112
开源软件的壮大是众多国家的人共同努力的结果。但现在技术无国界一次次被打脸。
来自四川成都的 Chrome 99.0|Windows 10 用户
2022-03-20T10:31:50.000
117.175.125.244
屠龙少年终成恶龙。<br />
<br />
<br />
Firefox 中的&nbsp;&nbsp;ublock origin 扩展页面 (addons.mozilla.org/en-US/firefox/addon/ublock-origin)，屏蔽了中国 IP。<br />
<br />
访问页面会提示：&quot;The page you tried to access is not available in your region (您尝试访问的页面在您的地区不可用)&quot;。
来自四川的 Chrome 85.0|Windows 10 用户
2022-03-21T11:16:58.000
183.250.126.244
这却是得问某国内公司
来自福建三明的 Firefox 114.0|GNU/Linux 用户
2023-11-27T01:27:40.000
更多：• 开源软件包 node-ipc 植入反俄代码遭到抨击 • Mozilla 和 Open Web Docs 在 MDN 上携手合作
![](/data/attachment/album/202203/19/162603oxwlw2wx2mkjj2jv.jpg)


![](/data/attachment/album/202203/19/162620gv9nnjhvjnwtpvnb.jpg)


### 每一次下载的 Firefox 安装包都含有唯一识别码


你每次从 Mozilla 官网下载的 Firefox 安装文件都不同，它会含有一个 [唯一识别码](https://www.ghacks.net/2022/03/17/each-firefox-download-has-a-unique-identifier/)，因而你查看其 MD5、SHA-1 等校验码会发现各个不同。Mozilla 内部将该识别码称为 dltoken，可以用二进制分析工具检查软件包找到它。该数据用于 Firefox 内部分析。所有分发通道的 Firefox 都含有该识别码。如果你不想下载带识别码的 Firefox，可以从 Mozilla 的 [HTTPS 资源库](https://ftp.mozilla.org/pub/firefox/releases/)（以前的 FTP 资源库）或第三方下载网站下载。虽然 Mozilla 指出，选择退出的机制是标准的遥测选择退出，但用户如何在安装 Firefox 浏览器之前选择退出？



> 
> 老王点评：这就是号称保护用户隐私的 Mozilla 吗？
> 
> 
> 


![](/data/attachment/album/202203/19/162632zh3znkio2im1lhnz.jpg)


### 开源软件包 node-ipc 植入反俄代码遭到抨击


[node-ipc](https://github.com/RIAEvangelist/node-ipc) 是一个流行的 Node.js 基础软件包，被包括 Vue.js 在内的许多大型软件和框架所依赖，其周下载量超过百万次。然而最近，该维护者发布了名为 `peacenotwar` 和 `oneday-test` 两个模块，并作为依赖项而包含在 node-ipc 的代码中。其中包含了作者本人对俄乌战争的观点和呼吁，“作为一种非暴力的抗议形式，以反对当前俄乌冲突造成的威胁”。这些模块会在用户的电脑桌面上放置一个文件来宣传其倡议。然而，[更糟糕的是](https://www.bleepingcomputer.com/news/security/big-sabotage-famous-npm-package-deletes-files-to-protest-ukraine-war/)，作者还发布了一个特定版本，它采用混淆代码以隐藏其真实目的，针对俄罗斯和白俄罗斯用户的 IP 而 [破坏用户的文件](https://github.com/RIAEvangelist/node-ipc/blob/847047cf7f81ab08352038b2204f0e7633449580/dao/ssl-geospec.js)。此事招致了开发者们大量的抨击。



> 
> 老王点评：我一直没有点评俄乌战争以来开源界或更广泛的技术领域的表态，但是这件事让我感觉突破下限了。抛开这些恶意行为不说，Node.js、Python 等依赖开源公共仓库模式的语言，必须有个切实的解决方案来应对这些有意或无意的破坏了。
> 
> 
> 


![](/data/attachment/album/202203/19/162651xrtpmrpp7lyaap7r.jpg)


### Mozilla 和 Open Web Docs 在 MDN 上携手合作


Mozilla 在裁员时将其著名的 MDN 团队也裁掉了，并在此基础上和谷歌、微软等公司共同建立了 Open Web Docs（OWD）。但是，前不久 Mozilla 又 [推出了新版](/article-14321-1.html) 的 MDN，并推出了收费的 MDN Plus 服务。这让人迷惑其与 OWD 关系如何。现在 Mozilla [撰文澄清](https://hacks.mozilla.org/2022/03/mozilla-and-open-web-docs-working-together-on-mdn/) 了它与 OWD 的关系：双方保持密切合作，OWD 会向 MDN 贡献内容，是其重要的贡献项目之一；但是 Mozilla 不参与 OWD 的决策，双方也不向对方提供财务支持。



> 
> 老王点评：我觉得，其实背后还是 Mozilla 分割出去 MDN 之后又舍不得了。
> 
> 
> 

