Frage zu NoScript

[r0ck3r]

Muss man also für sich entscheiden, ob man mit permanenten Problemen auf Webseiten leben kann oder nicht.

Sorry, aber ich habe solche Probleme noch nie erlebt... und ich benutze NoScript schon einige Jahre und surfe wirklich viel!!

Finde dein Posting ein wenig übertrieben.

 

[emlyn d.]

Gerne noch einmal:

Viel zu gern wird der Computec Media Hack vergessen, durch es den Angreifer problemlosmöglich gewesen wäre, unbemerkt Schadcode über die Seiten (und vor allem Foren) von PCGames, PCAction, Play3, 4players, buffed.de,... zu verbreiten.

Was soll NoScript auch bei manipulierten Downloads machen?

Genauso gern vergessen wird der Hack von Wetter.com, wo genau das eingetreten ist: Schadcode von einer normalerweise vollkommen ungefährlichen Seite.

NoScript hätte vor Blackhole geschützt, selbst wenn man JavaScript für Wetter.com freigegeben hätte.

 

[Morku]

Sorry, aber ich habe solche Probleme noch nie erlebt... und ich benutze NoScript schon einige Jahre und surfe wirklich viel!!

Finde dein Posting ein wenig übertrieben.

Dann probier es aus und wenn du Youtube "repariert" bekommst, bitte ich dich um deine Vorgehensweise. Dann nehme ich alles zurück

 

[Lemon with Ice]

Also ich finde NoScript übertrieben. Adblock und Disconnect reichen mir völlig aus. Und seit Java nicht mehr so ungefragt Zugriff auf Webseiten hat finde ich es persönlich für überflüssig.

Man kann es auch übertreiben, es sei denn man ist auf unseriösen Seiten unterwegs. Dann könnte es eventuell noch von nutzen sein.

 

[Randy89]

Muss ich zum Beispiel gmx,hotmail,aol,amazon,beate uhse shop usw freischalten?

Nein, du musst erstmal gar nichts machen. Du kannst es aber machen, wenn du die entsprechenden Seiten regelmäßig besuchst und du in der Benutzbarkeit zu sehr eingeschränkt wirst.

Aber wie hilft das Leuten, die eben nicht das Auge dafür haben, das ytimg etwas mit Youtube zu tun hat, oder die eben auch Wordpress nicht kennen?

Indem sie es lernen (=sich aktiv damit beschäftigen), Alternativen suchen oder darauf verzichten? Manch einer bootet z.B. lieber von einer Live-Linux-CD oder virtualisiert nur den Browser, bzw. das Betriebs-System unter Windows. Kann schließlich jeder handhaben, wie er oder sie möchte.
Ein Beispiel, wofür (standardmäßig) geblocktes Javascript helfen könnte, wären solche "Spaß-Seiten", wie in dem folgenden Thread erklärt:
https://www.computerbase.de/forum/threads/budespolizeitrojaner-webseiten.1262421/

Ja, musst du. Einfach auf "Alle Beschränkungen für die Seite aufheben klicken" (rechte Maustaste auf dem NoScript Symbol). So ist es am einfachsten...natürlich nur auf den sicheren Seiten so vorgehen.

Sorry, aber außer zu Fehler-Analysen, wenn man grad zu wenig Zeit hat, ist diese Vorgehensweise eher kontraproduktiv.
Das Addon hat den Sinn, zunächst über temporäreres Whitelistening nur die nötigsten Skripte laden zu lassen. Wenn alles funktioniert, kann man wieder auf blockieren gehen, bzw. eine neue Sitzung aufmachen und dann per Rechtsklick das entsprechende Element dauerhaft whitelisten.
Bei Foren wie Computerbase.de (und bei den meisten Webseiten allgemein) reicht die Freigabe der Hauptseite aus, um alle Funktionen benutzen zu können (z.B. die

Spoiler

- wer hätte das gedacht? -

Spoiler-Funktion).

@Topic: Mir geht NoScript mitterweile nicht mehr weit genug, weswegen ich auch RequestPolicy einsetze, auch wenn ein wenig mehr Eingewöhnungs-Zeit notwendig war.

 

[Daaron]

Was soll NoScript auch bei manipulierten Downloads machen?

Es geht nicht um manipulierte Downloads (also .exe, .zip,...) sondern um manipulierte Webinhalte, genauer gesagt JS. Ein Eindringling wird, wenn er clever ist, nicht etwa seine eigenen JS-Files von der Fremdquelle separat einbinden, sondern seinen Schadcode direkt in der Haupt.JS einbetten. Das kann sogar vollautomatisch erfolgen. Im Falle von einem gehackten Magento müsste man dafür z.B. nur die local.xml des verwendeten Themes um ein halbes Dutzend Zeilen erweitern. Auch andere CMS besitzen automatische Code-Zusammenführung und -kompression.

Dagegen schützt dich NoScript keinen Meter weit, weil der Inhalt von derselben Domain kommt, der du ja bisher immer vertraut hast.

 

[Randy89]

Dagegen schützt dich NoScript keinen Meter weit, weil der Inhalt von derselben Domain kommt, der du ja bisher immer vertraut hast.

Und Anti-Viren-Scanner verhindern bei 0 day Exploits in der Regel nicht vor einer Infektion. Und die Windows-Firewall und/oder die Router-Firewall können nicht alle Hacker-Eingriffe abwehren. Und verschloßene Türen und Fenster helfen auch nicht zu 100% gegen Einbrecher.
Wenn ein zusätzliches Modul aber Schutz anbieten kann, dann spricht auch nichts dagegen, solange man sich nicht zu sehr eingeschränkt fühlt.

Tatsache ist jedenfalls, dass man sich nie nur auf einen bestimmten Aspekt bei der Sicherheit festlegen sollte, sondern neben einem Anti-Viren-Scanner mit Echtzeit-Schutz und aktiver Router + Software-Firewall (Windows intern oder Dritt-Programm) auch Programme (insbesondere Java, Flash u. Browser), sowie das Betriebs-System aktuell halten muss und auf jeden Fall sämtliche wichtigen Daten gesichert haben sollte.

Übrigens seh ich NoScript eher als "Vorhang", der meine Privatsphäre vor anderen besser schützen sollte, aber das hilft ja auch nicht viel, wenn ich selber darüber ausplaudere, also sozusagen "das Licht anmache".

 

[emlyn d.]

@Daaron
Du hast die Beispiele aufgeführt.
Die Wetter.com-Geschichte, ein ganz typischer Exploit-Angriff, hast Du hoffentlich jetzt verstanden.

Bei Computec ist davon

Der Angreifer hatte zeitweilig Zugriff auf unsere Systeme und hat verschiedene Dateien, darunter Downloads und Werbemittel, so modifiziert, dass möglicherweise Schadsoftware heruntergeladen wurde.

die Rede.
Hast Du irgendeinen Anhaltspunkt, dass die Werbemittel nicht "von extern" kamen?

btw:
Als die PC Welt-Seite kompromittiert war, hat NoScript auch geschützt.
btw2:
Aktuelles Beispiel: Ruft man xttp://thisisnotforpublicuse.pp.ua/212/ auf, landet man ohne NoScript bei einer Browser-Ransom-Seite.

 

[Daaron]

Ich habe nie gesagt, dass bei Computec direkt Malware per Domain-eigenem JS verteilt wurde, denn das war nicht der Fall. Die Zugriffe waren aber tiefgreifend genug, um eine solche Situation denkbar werden zu lassen.

 

[DerOlf]

Wo ist denn nun das Problem?
Wenn euch die ewige Freischalterei stört, dann nutzt eben "YesScript", im Prinzip macht das genau das gleiche, wie NoScript nur eben andersrum. Das bedeutet, bei YesScript muss man die Scripte nicht entblocken (NoScript, Prinzip der Whitelist), sondern blocken (Prinzip der Blacklist). Für die jenigen, denen es zu nervig ist, ständig irgendwelche Scripte zuzulassen, ist das dann wohl die bessere Lösung. Oder ihr nutzt die Whitelist von NoScript, und seid damit eben dann nicht dagegen geschützt, wenn Schadcode in ganz "normale" und bei euch erlaubte Scripte eingebettet wurde.

Ich verwende z.B. nichtmal die Whitelist von NoScript (bzw. sie ist sehr kurz, eigentlich stehen da nur youtube, gmx und Computerbase drin), alles andere wird bei Bedarf temporär erlaubt.
Am besten gefällt mir daran folgendes: Ich bekomme recht schnell mit, wenn auf einer Seite (wiedermal) ein neues Script eingebettet wurde. Bei den meisten Seiten wird die Liste immer länger, und ich möchte garnicht genau wissen, wie diese Seiten ohne NoScript aussehen.

Ursprünglich habe ich NoScript angefangen zu nutzen, weil Scripte bei mir eine Zeitlang absolute Performance-Killer gewesen sind. Ohne NoScript dauerte der Seitenaufbau teilweise 2-5 Minuten, mit NoScript waren es dann nur noch 20-30 sek (war ein alter Rechner, aber ich habe das beibehalten). Und das ist bei mir der Hauptgrund für NoScript, Sicherheit erwarte ich mir von dem Ding auf jeden Fall nicht primär. Es ist gut, wenn ich dadurch vor ein paar Gefahren mehr geschützt bin, aber ich würde mich definitiv nicht darauf verlassen.

Einen sehr interessanten Effekt konnte ich dabei auch feststellen. Im Foren-Bereich von StudiVZ kann man nur posten, wenn man das StudiVZ-eigene Script blockiert - lässt man dieses Script zu, hat das z.B. zur Folge, dass das Eingabefenster für eine Antwort verschwindet. Stellt euch vor, ihr erlaubt das Script von computerbase.de und der ganze Bereich "direkt antworten" ist danach weg.