ubuntuusers.de

Hallo.

Ich möchte es nur mal allgemein wissen, damit ich NoScript besser verstehe. Ganz oben in der Liste befindet sich der Name der besuchten Homepage, schon klar. Doch was danach kommt, entzieht sich in der Regel meiner Kenntnis. Okay, manches kommt mir vertraut vor, dem gebe ich dann auch noch ein go, doch je weiter ich nach unten schaue, desto schwieriger fällt es mir, die Namen fehlerfrei über die Lippen zu kriegen. Doch damit nicht genug, kommt es zu Problemen mit dem Funktionsumfang der Webseite, vergebe ich für diesen einen Zweck eine temporäre Erlaubnis. Dann kann es sein, dass sich die Anzahl der Scripte auf einmal verdoppelt. Na ja, ihr kennt das ja.

Dann lass ich's und verschwinde, auch wenn mir dann irgendein Download oder Artikel durch die Lappen geht. Denn jedes einzelne Script mit google zu enttarnen oder mich von seiner Harmlosigkeit zu überzeugen, dazu habe ich nicht die Lust und die Zeit. Ich will es nicht zu lang werden lassen. Dieses Script ps71.io z.B. taucht auf einmal weiter unten auf, wenn ich glomex.cloud eine temporäre Erlaubnis erteile, das Namentlich mit der webseite auch nichts zu tun hat.

Also verbiete ich nahezu alles, was mir nicht koscher vorkommt. Das komplette Gegenteil ist diese Seite. 2 Scripte, das war's. 😎 Ich will keine Umfrage starten oder sowas, aber wie geht ihr vor, wenn ihr über eine ganze Latte von Scripte zu entscheiden habt, die ihr nicht kennt? Lasst ihr sie auf Standard, verbietet oder erlaubt ihr sie ohne Überprüfung mit google? Die letzte Frage bezieht sich auf meine Betreffzeile. Facebook schmuggelt sich gerne ganz oben in die Liste ein, kennt jeder. Kann man pauschal sagen, dass die "Guten" immer oben sind und sich ab der Mitte und unten sowieso der Abschaum der Scriptwelt tummelt?

Gruß, warsteiner

Hey,

ja, das ist leider nicht so einfach, aber ich würde dir trotzdem auf jeden Fall empfehlen, NoScript weiter zu benutzen. Ich gehe immer ungefähr so vor wenn ich eine neue Seite (d.h. für die ich noch keine permanenten Rechte vergeben habe) besuche:

1. Gucken, ob die Funktion funktioniert, die man braucht, ist das so, muss man nichts weiter machen.

   • Funktioniert etwas nicht, muss man überlegen, ob es wohl sicher ist hier irgendein Skript zu erlauben. Dazu kann man sich fragen:

     1. Wie wahrscheinlich ist es dass auf dieser Seite Schadcode vorhanden ist? Es gibt eigentlich nur zwei Möglichkeiten, wie der da hin kommen könnte:

        1. Der Betreiber hat ihn selbst dort untergebracht.

           • Dann fragt man sich einfach: Wer ist der Betreiber? z.B. Spiegel-Online. Es ist unwahrscheinlich das Spiegel-Online Schadcode auf seiner Website implementiert, weil ja klar ist, was sie mit ihrer Website wollen und am Arsch sind, falls das jemand heraus findet. Auch werden sie wahrscheinlich genau prüfen (von ausgebildeten Admins, die etwas davon verstehen sollten), was ein externes Skript macht, das sie einbinden. Deshalb sollte zumindest keines der Skripte auf spiegel.de Schadcode enthalten und es sollte sicher sein, jedes davon zu erlauben, falls man nicht mit weniger auskommt, weil man nicht weiß, welches Skript was macht.

        2. Ein Hacker hat den Server gehackt und unbemerkt Schadcode dort eingebracht: Das ist aber bei Spiegel-Online zum Beispiel ziemlich unwahrscheinlich, weil die geschultes IT-Personal haben, die sich darum kümmern, dass soetwas nicht passiert. Die Gefahr besteht eher bei kleinen, z.B. privaten, Websites, die von jemandem ohne weitreichende Server-Kenntnisse verwaltet werden. Hier sollte man lieber gar kein Skript erlauben. Tracking- und Werbeskripte sind natürlich eine andere Frage: Die wird man auf Spiegel-Online höchstwahrscheinlich schon finden und dann muss man sich halt fragen, ob die (temporäre) Bereitstellung einer Funktion der Website es einem Wert ist, dass jetzt irgendein Werbetracker Daten über einen erhält.

2. Wenn es keine Gründe gibt, aus denen man überhaupt keine Skripte auf dieser Seite erlauben möchte (s.o.), dann erlaubt man zunächst die Top-Level-Domain und guckt, ob der Fehler behoben ist.

3. Ist das nicht der Fall, guckt man sich die Namen der übrigen Skripte an: Häufig geben diese eine Idee, was das Skript wohl macht. Zum Beispiel: Irgendetwas mit "google" oder "youtube" ist wahrscheinlich erforderlich, um ein eingebundenes Youtube-Video abzuspielen. Dann erlaubt man gegebenenfalls halt das Skript zunächst, das dem Namen nach wohl das richtige sein wird.

4. Wenn man sich unsicher ist, klickt man auf den Namen des Skriptes (in Noscript) und wird auf eine NoScript-Seite weitergeleitet, wo es Informationen über das Skript gibt, sofern dieses bekannt ist, falls nicht, kann man den Namen des Skriptes immer noch in einer Suchmaschine suchen oder man verlässt sich halt nur auf seinen eigenen Verstand, ruft den Quelltext der Seite auf ( Strg + U im Firefox) und guckt, sich den Code des Skriptes oder die URL, von der es kommt, an, dann weiß man wahrscheinlich auch bald, was es macht oder ob man dem vertrauen kann oder nicht.

So, ich hoffe das hilft ein bisschen. Und: Man kann sich auf Linux immer noch ein bisschen sicherer fühlen, als auf Windows, auch mit erlaubten Skripten, aber das ist natürlich nur fürs Gefühl 😀

LG,

Frink

Ich spiel mal des Teufels Advokat.

Wer von euch hat jemals von einem erfolgreichen Angriff über JavaScript-Schadcode via Firefox auf Ubuntu gehört?

Prof._Frink schrieb: Zum Beispiel: Irgendetwas mit "google" oder "youtube" ist wahrscheinlich erforderlich, um ein eingebundenes Youtube-Video abzuspielen. Dann erlaubt man gegebenenfalls halt das Skript zunächst, das dem Namen nach wohl das richtige sein wird.

Ja, das sehe ich genauso und handle auch dementsprechend. Google bekommt von mir auch eine Generalerlaubnis, wie z.B. google-analytics.com u.a. Danke übrigens für deine umfassende Antwort. 👍

@Cruiz. In der Tat, würde ich eh nicht merken, daher betreibe ich Homebanking nur per Kartenleser mit eingebauter Tastatur, denn sonst wäre es ja wieder eine Softwarelösung UND ich habe die Kamera meines Notebooks zugeklebt, sicher ist sicher. 😀

Wer von euch hat jemals von einem erfolgreichen Angriff über JavaScript-Schadcode via Firefox auf Ubuntu gehört?

von einem erfolgreichen Angriff habe ich weder etwas gehört, noch so einen erlebt. Aber ich beobachte immer wieder mal, das bei einigen Webseiten die CPU-Last auf 100% steigt und mein Lüfter laut wird.

So etwas finde ich auch böse. Ohne Javascript passiert da nicht. Ich hasse es, wenn andere meinen Strom verbrauchen!

Dakuan schrieb:

Wer von euch hat jemals von einem erfolgreichen Angriff über JavaScript-Schadcode via Firefox auf Ubuntu gehört?

von einem erfolgreichen Angriff habe ich weder etwas gehört, noch so einen erlebt. Aber ich beobachte immer wieder mal, das bei einigen Webseiten die CPU-Last auf 100% steigt und mein Lüfter laut wird.

So etwas finde ich auch böse. Ohne Javascript passiert da nicht. Ich hasse es, wenn andere meinen Strom verbrauchen!

Das mag sein aber wurde hier ja nicht als Grund aufgeführt 😉 Mal abgesehen davon, dass ich solche Seiten kein 2. Mal besuchen würde.