Firefox 154: Kerberos Extended Protection — безопасная проверка CBT. Обратимый test/control, матрица состояний, stop-line и обезличенный пакет поддержки.
Короткий ответ и граница вывода
Если наблюдается ситуация «внутренний ресурс отвечает повторным challenge, но обычная ошибка сети выглядит так же», не начинайте с обновления настроек на рабочем устройстве. Официально подтверждённая граница здесь узкая: Firefox 154 добавил поддержку Extended Protection for Authentication в Kerberos. Проведите опыт «выделенный тестовый origin в лабораторном домене с EPA require и allow, только агрегированный HTTP status» и отдельно контроль «тот же origin в allow mode и чистая сессия без сохранённых credentials». Такой тест отвечает только на намерение «как проверить Kerberos Extended Protection в Firefox 154 без публикации билетов и токенов». Он не доказывает массовость симптома, качество всего выпуска, готовность приложения к публикации или причину любого похожего сбоя. До запуска запишите ожидаемые состояния и версию Firefox 154; после опыта верните исходное состояние.
Наблюдаемый симптом и измерительная таблица
Симптом считается воспроизводимым, когда заполнена таблица «EPA mode × TLS valid × challenge count × final status × CBT support marker». Каждая строка должна соответствовать одному заранее названному состоянию, а не впечатлению «работает/не работает». Предмет проверки: внутренний ресурс отвечает повторным challenge, но обычная ошибка сети выглядит так же. Не объединяйте его с соседними проблемами сети, профиля, разрешений, рендера или автоматики. Если показатель нельзя получить без токенов, содержимого сообщений, персональных путей либо реальных аккаунтов, fixture нужно упростить. Пустое значение отмечается как неизвестное, а не превращается в удобное подтверждение гипотезы.
Изолированный test и независимый control
Test строится строго так: выделенный тестовый origin в лабораторном домене с EPA require и allow, только агрегированный HTTP status. Control выполняется отдельно: тот же origin в allow mode и чистая сессия без сохранённых credentials. Обе ветки получают одинаковые версии, locale, временной лимит и нейтральные синтетические данные. Сначала снимите A, затем один раз B, после cleanup повторите A2. Одновременная смена API, политики, устройства, формы входа и порядка событий уничтожает причинность. Запрещено переносить в стенд рабочие cookies, IP, сообщения, контакты, TLS-секреты, device identifiers или полный environment.
Порядок безопасного опыта
Шаг 1: зафиксируйте baseline и подтвердите boundary «Firefox 154 добавил поддержку Extended Protection for Authentication в Kerberos». Шаг 2: выполните control «тот же origin в allow mode и чистая сессия без сохранённых credentials» и заполните только «EPA mode × TLS valid × challenge count × final status × CBT support marker». Шаг 3: запустите test «выделенный тестовый origin в лабораторном домене с EPA require и allow, только агрегированный HTTP status» с конечным timeout. Шаг 4: удалите временные объекты, закройте процессы, listeners, окна или соединения и повторите A2. Шаг 5: сравните не скриншоты целиком, а заранее выбранные поля. Если A2 отличается от A, состояние загрязнено: остановитесь, очистите только тестовый профиль и не повторяйте B до восстановления baseline.
Дерево решения без догадок
Правило чтения результата: require проходит только при корректном канале — поддержка подтверждена; оба режима падают — проверяем стенд и часы. Дополнительно различайте четыре исхода. Test совпал с документированной границей, а control чист — подтверждён узкий контракт. Оба падают — неисправен fixture или среда. Test не воспроизводится при чистом control — вывод остаётся неопределённым, это не «исправлено». A2 расходится с A — опыт оставил состояние. Ни один исход не разрешает заявлять популярность проблемы, переносить вывод на иной browser build, OEM, driver, managed policy или production traffic.
Красные флаги и stop-line
Жёсткое условие остановки: не копировать Authorization headers, Kerberos tickets, SPN пользователя или keytab. Также прекращайте тест при запросе повышенных прав, появлении реальных пользовательских данных, невозможности закрыть ресурс, внешнем соединении вне заявленного fixture, бесконечном retry, crash без сохранённого минимального trace либо изменении системного default. Не лечите неясность отключением TLS validation, выдачей широкого permission, постоянным preference, длинным sleep или сбросом рабочего профиля. Безопасный нулевой вывод полезнее вымышленной причины.
Минимальный пакет для поддержки
Для воспроизведения достаточно набора: режим сервера, версии, агрегированные statuses, clock skew class и Firefox policy state. Добавьте Moscow timestamp, точное имя release/build, одну таблицу A/B/A2 и ожидаемую boundary «Firefox 154 добавил поддержку Extended Protection for Authentication в Kerberos». Удалите домашние пути, account names, hostname, содержимое контактов и сообщений, заголовки авторизации, IP, cookies, key material и полные дампы. Получатель должен суметь проверить один state transition без доступа к вашей базе или устройству. Если не может, пакет либо избыточен, либо не содержит нужной измеримой границы.
Протокол T17-12: самостоятельная практическая ценность
Этот URL отвечает на один самостоятельный вопрос: «как проверить Kerberos Extended Protection в Firefox 154 без публикации билетов и токенов». Его неделимый паспорт: боль «внутренний ресурс отвечает повторным challenge, но обычная ошибка сети выглядит так же»; официальная граница «Firefox 154 добавил поддержку Extended Protection for Authentication в Kerberos»; fixture «выделенный тестовый origin в лабораторном домене с EPA require и allow, только агрегированный HTTP status»; матрица «EPA mode × TLS valid × challenge count × final status × CBT support marker»; независимый control «тот же origin в allow mode и чистая сессия без сохранённых credentials». Сначала выполняется test, затем применяется правило «require проходит только при корректном канале — поддержка подтверждена; оба режима падают — проверяем стенд и часы», а при риске действует stop-line «не копировать Authorization headers, Kerberos tickets, SPN пользователя или keytab». Результат не заменяется общим uptime, одной фотографией, exit code или фразой «после обновления стало лучше». Пакет ограничен полями «режим сервера, версии, агрегированные statuses, clock skew class и Firefox policy state». После cleanup снова заполните одну строку baseline и подтвердите отсутствие оставшегося состояния. Именно связка уникальной боли, измерителя, контроля, дерева решения и права остановиться отличает T17-12 от соседних материалов про Firefox 154. Карточка наблюдения firefox-154-kerberos-extended-protection: Firefox 154 добавил поддержку Extended Protection for Authentication в Kerberos; внутренний ресурс отвечает повторным challenge, но обычная ошибка сети выглядит так же; выделенный тестовый origin в лабораторном домене с EPA require и allow, только агрегированный HTTP status; EPA mode × TLS valid × challenge count × final status × CBT support marker; режим сервера, версии, агрегированные statuses, clock skew class и Firefox policy state.
Материал подготовлен редакцией VOne с помощью ИИ по открытым официальным и первичным источникам; факты, даты и ссылки перепроверены. Реальные пользовательские данные не использовались.
Источники и проверка
- Firefox 154 for developers проверено 2026-08-29
- Mozilla Bug 1179722 проверено 2026-08-29
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.