NoScript - opis konfiguracji

[koszalek]

Znalazłem taki opis funkcji NoScript - http://noscript.net/features
Ale jest po angielsku ;/ Translator googli tak tłumaczy że to co akurat mnie interesuje jest niezrozumiale przetłumaczone.

Znacie jakiś dobry opis funkcji tego dodatku? Jest wprawdzie po polsku ale nie rozumiem pewnych rzeczy w tym programie.

[Grzegorz]

Najlepsze zabezpieczenia dla przeglądarek Mozilli! NoScript pozwala blokować
wykonywanie skryptów JavaScript i apletów Java na stronach internetowych.

Zwycięzca "2006 PC World World Class Award". Narzędzie to stanowi dodatkowe
zabezpieczenie dla wszystkich przeglądarek Mozilli. NoScript pozwala
wykonywać skrypty JavaScript i aplety Java tylko przez zaufane domeny
wybrane przez użytkownika np. witryny banków internetowych oraz zabezpiecza
przed atakami typu "cross-site scripting" (XSS). Takie prewencyjne podejście
zabezpiecza przed wykorzystaniem luk bezpieczeństwa - znanych i nieznanych -
bez utraty funkcjonalności.

Eksperci są zgodni: Firefox z NoScript jest naprawdę bezpieczniejszy!

[koszalek]

Opis funkcji czyli nie ogólnie, tamto już czytałem i to na samym początku... ale takie coś jak w linku który podałem tylko po polsku. O takie coś mi chodziło.

[Grzegorz]

to co akurat mnie interesuje jest niezrozumiale przetłumaczone

Wklej cytat (w którym zawarte będzie to, co Cię interesuje), jak nie będzie tego dużo to przetłumaczę (w wolnym czasie).

[koszalek]

Dużo by tego było ;/ Może jest gdzieś polska wersja językowa tego-> http://noscript.net/features ?

[teo]

Dużo by tego było ;/ Może jest gdzieś polska wersja językowa tego-> http://noscript.net/features ?

Nie ma tego przetłumaczonego na język polski. Ja tłumaczę to rozszerzenie. Napisz dokładniej o co ci chodzi. Generalnie NoScript zezwala lub nie na wykonywanie skryptów na stronach internetowych. Z menu dostępnego po użyciu p.p.m. wybierasz co chcesz.

[koszalek]

W prawym dolnym rogu przeglądarki jest ikonka i naciskając na nią pokazuje sie menu gdzie jest "niezaufane"- do czego to służy, co sie dzieje gdy tam będę oznaczał? czym sie różnią strony tam oznaczone jako niezaufane od stron których nie ma na białej liście (bo przecież też są niezaufane skoro ich nie ma na białej liście, więc po co je dodawać ponownie?)?

[teo]

Strony niezaufane, to takie, którym zabroniłeś wykonywania skryptów. Do czasu jak będą miały taki status domyślnie wykonywanie skryptów w nich zawartych będzie zabronione. Odwrotnie strony zaufane - to strony, którym domyślnie zezwoliłeś na wykonywanie skryptów. Strona, która nie znajduje się na żadnej liście będzie czekała na twoją decyzję. Będziesz ją mógł dołączyć do jednej z list lub zezwolić/zabronić jej czasowo na wykonywanie skryptów.

[koszalek]

Rozumiem, ale chodziło mi o to czym się różni dodanie strony do niezaufanych od blokowania domyślnego każdej strony, bo po co dodawać do niezaufanych skoro domyslnie noscript blokuje wszystko i wystarczy tylko określić strony zaufane.

Strona, która nie znajduje się na żadnej liście będzie czekała na twoją decyzję.

Blokowana jest domyślnie więc na to samo wychodzi gdybym ją dodał do niezaufanych.

[Grzegorz]

Z tego, co pamiętam NoScript nie wyświetli powiadomienia ani nie zapyta, jeśli dany adres jest w niezaufanych. Jeśli nie ma go ani w zaufanych, ani w niezaufanych to zapytuje/informuje o blokadzie.

[koszalek]

Czyli tylko jest ta opcja dlatego by noscript nie powiadamiał o niczym blokując? Mnie sie jeszcze o nic nie pytał bo blokuje wszystko domyślnie.

[koszalek]

Teraz jeszcze raz czytam i natknąłem na nieścisłość:

Do czasu jak będą miały taki status domyślnie wykonywanie skryptów w nich zawartych będzie zabronione.

Domyślnie przecież skrypty zawsze są blokowane. Chodziło może o domyślną możliwość wykonywania skryptów (czyli opcję włączenia skryptów)?

Jakby ktoś miał taki problem jaki ja miałem to napiszę co następuje.

Jeśli strona nie jest na liście zaufanych to NoScript i tak ją zablokuje a oznaczając stronę jako nie zaufaną, my i NoScript wiemy że strona rzeczywiście nie jest zaufana lub obowiązkowo trzeba na niej skrypty poblokować bo mogły by np zamulić przeglądarkę.

Chyba że dalej nie rozumiem w pełni (częściowo wyżej Panowie wytłumaczyli) idei, ale chyba o to mniej więcej chodzi?

P.S.

Odkąd używam NoScripta nie mam pojęcia o co tutaj chodzi. Może mi ktoś pomóc, wyjaśnić?

[Grzegorz]

Przetłumaczyłem Najczęściej zadawane pytania:



Zagadnienia ogólne

1.1 Czym jest dziwne, złe, niebieskie stworzenie w logo NoScript?

1.2 Czy Greasemonkey działa z NoScriptem?

1.3 Czy FlashBlock działa z NoScriptem?

1.4 Czy blokowanie reklam działa z NoScriptem?

1.5 Jakie witryny są w domyślnej liście zaufanych adresów?

1.6 Co to za dziwny dźwięk odtwarzany wraz z otwarciem strony internetowej?

1.7 Czy muszę wyłączyć obsługę JavaScriptu w przeglądarce, aby bezpiecznie przeglądać WWW z NoScriptem?

1.8 Czy muszę wyłączyć obsługę Javy i/lub innych wtyczek w przeglądarce, aby bezpiecznie przeglądać WWW z NoScriptem ?

1.9 Dlaczego czasami widzę adresy about:blank i/lub wyciwyg:w menu NoScripta? Jakie skryptu są za to odpowiedzialne?

1.10 Dlaczego powinienem zezwalać na uruchamianie obiektów JavaScript, Java, Flash i innych wtyczek tylko na zaufanych witrynach?

1.11 Czym są zaufane witryny?

1.12 Po globalnym włączenie obsługi JavaScriptu, obiekty Java i Flash także są włączane. Czy można dopuścić wykonywanie JavaScriptu, z jednoczesną blokadą obiektów Java i Flash dopóki bezpośrednio nie zezwolę na ich wykonanie w NoScripcie?


Instalacja, usuwanie, migracja i aktualizacja

2.1 Jak zainstalować NoScript?

2.2 Pobrałem plik XPI, co z nim zrobić?

2.3 Jak odinstalować NoScript?

2.4 Gdzie są przechowywane moje ustawienia dla NoScript? Jak mogę stworzyć kopię zapasową konfiguracji i migrować na inny komputer? Jak zresetować ustawienia NoScript?

2.5 Nie lubię być przekierowywany na stronę projektu po automatycznej aktualizacji NoScript. Czy można temu jakoś zaradzić?

2.6 Uwielbiam NoScript, ale męczą mnie aktualizacje, co kilka dni, można je ograniczyć do jednej w miesiącu?


Problemy

3.1 Odkąd zainstalowałem NoScript zdarzają się awarie Firefoksa. Co mogę zrobić?

3.2 [url=http://grzglo.jogger.pl/2009/08/27/noscript-faq3#qa3_2]Nie umiem znaleźć paska narzędziowego NoScripta. Gdzie on jest?
[/url]

3.3 Nie mogę korzystać z webmaila (Hotmail, Gmail, inny), serwisów aukcyjnych (Allegro, Ebay) oraz konta w banku. Co się dzieje?

3.4 Trafiłem na stronę z problematycznym klipem filmowym, jej otwarcie skutkuje komunikatem o nieprawidłowej operacji wtyczki Windows Media Player (WMP). Problem znika po odinstalowaniu NoScripta, o co chodzi?

3.5 [url=http://grzglo.jogger.pl/2009/08/27/noscript-faq3#qa3_5]Napotykam na niewielkie problemy z instalacją dodatku w Mozilla Suite (lub SeaMonkey). Po ściągnięciu, zaczyna się instalacja, ale w jej trakcie otrzymuję poniższy komunikatów:
- Prawdopodobnie nie posiadasz właściwych uprawnień (dostępu zapisu do katalogu profilu/chrome).
- OSTRZEŻENIE: CZĘŚCIOWA INSTALACJA[/url]

3.6 Zaktualizowałem Mozilla Suite (lub SeaMonkey) do najnowszej wersji, przez co NoScript przestał działać. Wciąż widzę ikony i inne elementy dodatku, ale ich kliknięcie nic nie robi!

3.7 Mam kłopoty z Yahoo! Mail, które znikają po wyłączeniu NoScript lub po globalnej akceptacji wykonywania skryptów. Co należy zrobić, aby zezwolić na wykonywanie skryptów Yahoo?

3.8 Nie mogę skopiować ani wkleić sformatowanego tekstu z pól edytorów (np. webmailowego kompozytora wiadomości lub edytora CMS). Sugerowane rozwiązania (ustawienie preferencji capability.policy lub stosowanie rozszerzenia AllowClipboard Helper) nie działają. Czy powodem tych problemów jest NoScript?

3.9 Posiadam obrazki lub zdjęcia na dysku twardy, które muszę wgrać na wskazany serwer(zwyczajny serwer gry). Jeśli NoScript jest włączony nie widzę swoich obrazków. Co mogę zrobić poza wyłączeniem NoScripta?

3.10 Omyłkowo dodałem dobrą-stronę.com do listy zablokowanych (Niezaufane > Oznacz dobrą-stronę.com jako niezaufaną). Jak cofnąć lub zmienić mój wybór?

3.11 Jeden ze skrótów klawiaturowych NoScripta zastąpił ważny skrót innego dodatku (np. Web Developer). Co mogę zrobić?

3.12 Po zainstalowaniu NoScripta, szwankuje dodatek ScrapBook. Co mogę zrobić?

3.13 Próba oznaczenie wszystkich wiadomości w http://www.bloglines.com/myblogs jako przeczytanych powoduje błąd.

3.14 Dlaczego najnowsze wersje NoScripta blokują stosowanie XMLHttpRequest w konsoli Firebuga na niezaufanych stronach?

3.15 Dlaczego widuję adresy 127.0.0.1:1029 lub localhost:1029 (przy czym liczba "1029" jest tylko przykładem) w menu NoScripta prawie na każdej stronie, którą odwiedzam?

3.16 Firefox informuje mnie o nieodpowiadających skryptach na niektórych stronach lub podczas startu. Po wyłączeniu NoScripta problem znika. Co to oznacza?

3.17 Na niektórych stronach widzę niewielkie ikony NoScripta z odnośnikami po lewej. Myślałem, że można się ich pozbyć wyłączając opcję "Wyświetlaj ikonę zamiennika", jednak obiekty wciąż się pokazują... Jak je wyłączyć?

3.18 Galerie na smugmug.com nie działają nawet po dodaniu strony do listy zaufanych adresów. Co się dzieje?

3.19 Jak pogodzić działanie Evernote Web Clipper z NoScriptem?

3.20 Niektóre funkcje Ubiquity nie działają, gdy NoScript jest zainstalowany. Co mogę zrobić?

3.21 Dlaczego widuję reklamy na stronach, nawet po zainstalowaniu Adblock Plusa z subskrypcją EasyList?


XSS

4.1 Co to jest XSS i czy należy się go obawiać?

4.2 Wygląda na to, że zabezpieczenie Anty-XSS powoduje problemy z adresami zawierającymi pewne znaki specjalne, jak <, ' lub ". O co chodzi?

4.3 Czy mogę wyłączyć powiadomienia o działaniu Anty-XSS?


4.4 Czy mogę pomijać filtry Anty-XSS dla wybranych stron WWW?

4.5 Czy mogę wyłączyć ochronę Anty-XSS?

4.6 [url=http://grzglo.jogger.pl/2009/08/27/noscript-faq4#qa4_6]Dlaczego NoScript blokuje dokumenty ładowane z odnośników jar:?
[/url]

4.7 Dlaczego obiekty Flash z zaufanych adresów (np. youtube.com) są blokowane na niezaufanych stronach?

4.8 Jak działa blokowanie IFrame i dlaczego jest wyłączone w domyślnej konfiguracji?

Porady i sztuczki

5.1 Nie chcę dodawać forum.mozillazine.org (dowolnemu innemu forum) do listy zaufanych adresów. Wszystko działa jak należy, za wyjątkiem "Szybkiej odpowiedzi" i paska formatowania BB Code. Oczywiście wiem o możliwości tymczasowego dopuszczenia wykonywania JavaScriptu, ale takie rozwiązanie jest denerwujące. Co mogę zrobić?

5.2 [url=http://grzglo.jogger.pl/2009/08/27/noscript-faq5#qa5_2]Gdy zezwalam na wykonywanie JavaScriptu, część lub wszystkie kart i okna są przeładowywane, co czasami jest denerwujące. Wiem o możliwości wyłączenia automatycznego przeładowywania stron za pomocą
NoScript > Opcje > Ogólne, czy można wyłączyć przeładowywanie dla otwartych w tle kart i okien, stosując odświeżanie zawartości WWW tylko dla aktywnej karty?[/url]

5.3 Nie działają filmy na YouTube. Dlaczego strona informuje o konieczności włączenia JavaScriptu i Flasha, nawet wtedy, gdy zezwolono na nie na youtube.com?

5.4 Martwi mnie, że niektóre strony wymagają dodania do listy zaufanych domeny akamai.net. Wolałbym jej nie zezwalać wszędzie, a jedynie na kilku stronach, którym ufam. Jak mogę to zrobić?

5.5 Dlaczego menu NoScripta znika automatycznie po tym, jak zezwolę/zabronię danej stronie wykonywać skrypty?


HTTPS

6.1 Co to jest HTTPS i dlaczego jest tak ważny dla użytkowników NoScript?

6.2 Jak w NoScript zezwalać na skryptu tylko zaufanym stronom serwowanym przez HTTPS?

6.3 Czy NoScript może wymuszać na niektórych stronach używania połączenia HTTPS?

6.4 Jak NoScript przeciwdziała przejmowaniu ciasteczek HTTPS?

6.5 Odkąd włączyłem opcję Zarządzaj automatycznie bezpiecznymi ciasteczkami, nie mogę się zalogować na niektórych stronach. Co się dzieje?


ClearClick i Clickjacking

7.1 Czym jest Clickjacking?

7.2 Jak uchronić się przed atakami typu Clickjacking lub UI Redressing?

7.3 Jak NoScript chroni mnie przed atakami typu Clickjacking lub UI-redressing?

7.4 Co to jest ClearClick i w jaki sposób chroni mnie przed Clickjackingiem?

7.5 Słyszałem, że wyłączenie JavaScript może zapobiec ochronie antyclickjackingowej niektórych stron. Czy NoScript zakłóca antyclickjackingowe mechanizmy po stronie serwera jak "frame busting/killer/break"?

[Tomek]

Grzegorzu - to może do wiki to? Oczywiście z linkiem do bloga?

[Grzegorz]

Jeśli strona nie jest na liście zaufanych to NoScript i tak ją zablokuje a oznaczając stronę jako nie zaufaną, my i NoScript wiemy że strona rzeczywiście nie jest zaufana lub obowiązkowo trzeba na niej skrypty poblokować bo mogły by np zamulić przeglądarkę.

Niezupełnie tak to działa. Niezaufane są blokowane zawsze, niezależnie czy są dołączone do zaufanej, niezaufanej czy nieznanej witryny. Nieznane adresy będą uruchamiane przy tymczasowych zezwoleniach na dowolnej stronie (oprócz niezaufanych) lub zaufanych witrynach (także z pominięciem skryptów z niezaufanych). Pogmatwane to, ale się sprawdza.

Grzegorzu - to może do wiki to? Oczywiście z linkiem do bloga?

Najprawdopodobniej dodam za jakiś czas, podobnie jak zrobiłem z tłumaczeniem dotyczącym webowych antywirusów. Na razie chcę się nacieszyć swoją pracą i poprawić pozycję bloga w Google (NoScript, Firefox, blokowanie reklam itd.).
Teraz tłumaczę jeszcze kompletny opis z wykazem funkcji.

Później mam zamiar skończyć Zaawansowaną diagnostykę.

I przygotować prezentację wideo Jak przeprowadzić diagnostykę Firefoksa? Na razie eksperymentuję z kodowaniem i rozdzielczościami, akceptowanymi przez vimeo.

Tylko kiedy ja na to wszystko znajdę czas...

[Tomek]

vimeo? A nie lepiej natywnie w Fx?

[Grzegorz]

A kto mi będzie hostował, nie wiadomo jak długo i jak duże, wideo zezwalając na hotlinkowanie? Mam porównanie Vimeo i YouTube'a, ten pierwszy wydaje się być lepszym wyborem.

[Tomek]

a pogadaj z Markiem czy nie zgodzi się na hosting na mozillapl.org?

[Grzegorz]

Jak "nakręcę" ten filmik, teraz to była by trochę rozmowa o gruszkach na wierzbie Druga sprawa, że OGG (OGV/A) jest natywnie obsługiwane tylko w Firefoksie, a Flash co prawda z użyciem wtyczek, ale przez wszystkie przeglądarki.

[adjektiv]

Jako, ze strona Gregora sie była ulotniła wklejam treść. Czesc i Chwala Autorowi:


1. Zagadnienia ogólne
1.1 Czym jest dziwne, złe, niebieskie stworzenie w logo NoScript?

To Jesse JavaScriptowy Robak, uwięziony przez NoScript. Jest to zły kuzyn Trogdora, autor zarzeka się na Latającego Potwora Spaghetti, że nie wiedział nic o StrongBadzie i jego smoku podczas tworzenia logo NoScript
1.2 Czy Greasemonkey działa z NoScriptem?

Tak. Niektóre skrypty użytkowników Greasemonkey działają na stronach, na których dozwolono wykonywanie JavaScriptu, ale większość działa nawet bez tego.

Jeśli jesteś użytkownikiem forum MozillaZine.org, możesz chcieć usprawnić forum instalując skryty dla Greasemonkey opisane w tym dokumencie, ułatwiające użytkowanie publicznego forum (mądry wybór).
1.3 Czy FlashBlock działa z NoScriptem?

FlashBlock działa na stronach, na których zezwolono na działanie JavaScriptu. Jest to ograniczenie Firefoksa, wynikające z błędu (wątpliwe, aby został on usunięty w najbliższym czasie, ze względu na następstwa w sferze bezpieczeństwa). Pamiętaj, że możesz blokować Flash za pomocą NoScript!
1.4 Czy blokowanie reklam działa z NoScriptem?

Nawet jeśli NoScript blokuje znaczną część reklam jak efekt uboczny blokowania skryptów, jego głównym zadaniem jest dbanie o bezpieczeństwo. Aby prawie całkowicie wyeliminować reklamy, warto zainstalować rozszerzenie Adblock Plus, które świetnie współpracuje z NoScriptem.
1.5 Jakie witryny są w domyślnej liście zaufanych adresów?

Jeśli jesteś zorientowanym w temacie bezpieczeństwa użytkownikiem, prawdopodobnie chcesz stworzyć własną, zwięzłą listę zaufanych witryn, w pełni zadowalającą Twoje indywidualne potrzeby.

W czasie pierwszej instalacji NoScript dostarcza krótką listę zaufanych witryn:

chrome:
Jedyny "permanentny" adres na liście zaufanych witryn, związany z pseudo-protokołem, z którego korzysta Firefox do obsługi wewnętrznych skryptów: wyłącznie go spowodowałoby awarię i niemożność korzystania z przeglądarki.
about:xyz
Seria adresów zaczynająca się od about:, zaleca się ich zachowanie na liście ponieważ pomagają one przeglądarce poprawnie pracować.
addons.mozilla.org
To oficjalny adres bazy dodatków dla programów Mozilli. Najprawdopodobniej stamtąd zainstalowałeś NoScript i inne rozszerzenia. Ufasz im, prawda?
noscript.net, flashgot.net, informaction.com, maone.net
Strony Giorgio Maone, autora NoScript. Instalując oprogramowanie autora, chyba darzysz go dostatecznym zaufaniem, aby zezwolić na JavaScript na jego stronach?
Adres hackademix.net (również prowadzony przez autora dodatku) pozostał poza listą, ponieważ zawiera nadesłane przez użytkowników treści (komentarze na blogu) i okazjonalnie zamieszczane przykłady łamania zabezpieczeń i inne groźne skrypty.
Większość webmaili jest wyposażona w zaawansowane interfejsy oparte na Ajaksie. Dzięki ich dostępności na domyślne liście zaufanych witryn, NoScript pozwala w pełni korzystać z ich możliwości, nie zawracając głowy mniej doświadczonym użytkownikom o pozwolenia, których i tak by udzielili.
gmail.com i google.com (Gmail)
hotmail.com, live.com, microsoft.com, msn.com, passport.com, passport.net, passportimages.net (Microsoft webmail)
yahoo.com, yimg.com (Yahoo! Mail)
googlesyndication.com
To domena wykorzystywana przez Google Adsense. Z punktu widzenia bezpieczeństwa jest godna zaufania podobnie jak google.com lub nawet bardziej, ponieważ większość pieniędzy Google zależy od ich bezpieczeństwa. Adres znalazł się wśród zaufanych, ponieważ witryny i projekty autora (włączając w to NoScript i Firefoksa) są bezpośrednio lub pośrednio związane z programem Google Adsense: jeśli korzystasz z NoScript do "Blokowania googlesyndication.com", automatycznie usuwasz reklamy z wszystkich stron, które się z nich utrzymują.
Jeśli nie ufasz Google po prostu zablokuj wszystkie powiązane z nim domeny.
W przeciwnym wypadku, jeśli chcesz blokować Google Ads i inne, najlepiej wykorzystaj rozwiązania dedykowane blokowaniu reklam, które dodatkowo pozwolą utworzyć reguły wyjątków, w przypadku witryn, którym chcesz zezwolić na emisję treści reklamowych.

Naturalnie, dowolny z powyższych adresów (oprócz chrome:) można wyłączyć, wystarczy je usunąć z listy w NoScript > Opcje > Zaufane witryny > Usuń wybrane witryny lub standardowo za pomocą opcji Blokuj z.
1.6 Co to za dziwny dźwięk odtwarzany wraz z otwarciem strony internetowej?

To dźwiękowe powiadomienie o blokowaniu skryptów osadzonych na stronie za pomocą tagów <script>. Sygnalizacja dźwiękowa została dodana po tym, jak niektórzy użytkownicy zaczęli zgłaszać niedziałające strony po zainstalowaniu NoScripta: dzięki nim mają większą szansę zorientować się, że rozszerzenie zablokowało pewne operacje i treści.

Z drugiej strony, wielu użytkownikom nie podoba się wyraźny odgłos spłukiwania toalety. Dlatego domyślny dźwięk można wyłączyć lub zamienić na inny, wybrany przez siebie NoScript > Opcje > Powiadomienia.

Wersja 1.0.7 i nowsze korzystają z nieco dyskretniejszego dźwięku "Zap" i alternatywnie odgłosu "Blokowania wyskakujących okienek" (tylko w Firefoksie).
1.7 Czy muszę wyłączyć obsługę JavaScriptu w przeglądarce, aby bezpiecznie przeglądać WWW z NoScriptem?

Nie musisz wyłączać obsługi JavaScriptu w Firefoksie! NoScript będzie w zależności od ustawień użytkownika zezwalał lub blokował skrypty, ale ich obsługa musi być włączona w przeglądarce. Opcja Narzędzia > Opcje > Treść > Włącz obsługę języka JavaScript musi być zaznaczona (JavaScript włączony), inaczej JavaScript nie jest obsługiwany nigdzie, nawet na dozwolonych w NoScripcie stronach.
1.8 Czy muszę wyłączyć obsługę Javy i/lub innych wtyczek w przeglądarce, aby bezpiecznie przeglądać WWW z NoScriptem?

Nie musisz: NoScript może blokować obiekty zależne od wtyczek Java™, Flash® i innych.
1.9 Dlaczego czasami widzę adresy about:blank i/lub wyciwyg:w menu NoScripta? Jakie skryptu są za to odpowiedzialne?

about:blank to powszechny URL otwierający pusty (nowo utworzony) dokument sieci web.

Skrypt może w nim "żyć" tylko jeśli został wstrzyknięty (na przykład za pomocą document.write() lub manipulacjom DOM) przez inny skrypt, który przy włączonym NoScripcie musiał uzyskać zgodę użytkownika na wykonanie.

Zazwyczaj dochodzi to tego, gdy strona główna tworzy (lub zawiera) pustą ramkę (automatycznie zaadresowaną na about:blank) i wtedy jest wypełniana za pomocą skryptu.

Jednak, jeśli strona główna nie może uruchamiać skryptów, nic nie zostanie wczytane do pustej strony about:blank i jej "dozwolenia" pozostaną puste.

Zważyszszy na powyższe nie powinno się zbyt często dopuszczać skryptów z about:blank, jeśli w ogóle.

Co więcej, niektóre rozszerzenia dla Firefoksa wymagają zezwoleń dla skryptów, aby prawidłowo działać.

Czasami, zwłaszcza na częściowo dozwolonych stronach, można spotkać się z wpisami z wyciwyg:. Jest to skrót od "What You Cache Is What You Get", identyfikuje strony, których zawartość jest generowane przez kod JavaScript przez funkcje takie, jak document.write(). Jeśli widzisz taki wpis, oznacza to, że już zezwoliłeś na wykonanie skryptu go generującego, zasady są identyczne jak w przypadku treści wczytywanych do about:blank.
1.10 Dlaczego powinienem zezwalać na uruchamianie obiektów JavaScript, Java, Flash i innych wtyczek tylko na zaufanych witrynach?

JavaScript, Java i Flash, są różnymi technologiami, ale mają coś wspólnego: uruchamiają zdalny kod na lokalnym komputerze.

Wszystkie trzy stosują pewnego rodzaju izolowane środowisko (zwane wirtualną piaskownicą (ang. sandbox)), które ogranicza możliwe do podjęcia przez aplikację działania: przykładowo wyizolowany kod nie powinien móc odczytać ani zapisać danych z lokalnego dysku twardego ani reagować z systemem operacyjnym i zewnętrznymi aplikacjami.

Nawet jeśli piaskownice są kuloodporne (nie ten przypadek, czytaj dalej) i nawet jeśli Twój system operacyjny odcina całą przeglądarkę we wnętrzu innej piaskownicy (jak IE7+ w Windows Vista lub Sandboxie), jest możliwe wykonanie tak wyizolowanego kodu wewnątrz przeglądarki mogącego stanowić zagrożenie, jak kradzież ważnych informacji zapamiętanych w programie lub wprowadzonych na stronach (numery kart kredytowych, tożsamości internetowe, adresy i temu podobne) lub "podszywania się" za użytkownika, na przykład w sfingowanych transakcjach finansowych, uruchamianie takich ataków na "chmury" jak Cross Site Scripting (XSS) lub CSRF, bez potrzeby wydostawania się poza przeglądarkę i zwiększania jej uprawnień. Jest to dostateczny powód, aby blokować skrypty na nieznanych i niezaufanych stronach.

Co więcej, wiele exploitów umożliwia "zdobycie podwyższonych uprawnień", umożliwiając w przykładzie wykorzystanie dziury w piaskownicy do uzyskania wyższych uprawnień i wykonania szkodliwego kodu, który może być odpowiedzialny za instalację trojanów, rootkitów i keyloggerów.

Te typu ataków mogą być wymierzone w JavaScript, Javę, Flash i inne obiekty obsługiwane przez wtyczki.

JavaScript wygląda na cenne narzędzie dla "złych ludzi": większość z dotychczas odkrytych luk bezpieczeństwa w przeglądarkach była niegroźna przy wyłączonej obsłudze JavaScriptu. Maże dlatego, że skrypty są wygodne do testowania i szukania dziur, nawet dla początkującego hackera.
Java ma lepszą historię, przynajmniej "standardowe" wcielenie, Sun JVM.

Istniały wirusy, napisane dla Microsoft JVM, jak ByteVerifier.Trojan. Tak czy owak, model bezpieczeństwa Javy pozwala stosować podpisy apletów (ich integralność i oryginalność są potwierdzane przez gwarantowany, cyfrowy podpis) dla aplikacji uruchamianych z lokalnymi uprawnieniami, tak jakby były normalnie zainstalowanymi programami. Mimo to, zawsze znajdą się użytkownicy, którzy mimo ostrzeżenia "Ten aplet jest podpisany niewłaściwym/podrobionym certyfikatem. NIE chcesz go uruchomić! Jesteś aż tak szalony? [Nigdy!] [Nie ma mowy] [Nie] [Może]", znajdą i klikną w przycisk "Tak", przyczyniają się do szerzenia złej reputacji nawet względem Firefoksa (podlinkowany artykuł jest słaby, niemniej jednak stał się głośny).
Flash był uważany za dość bezpieczny, jednak wraz z jego popularyzacją pojawiły się poważne luki bezpieczeństwa. Obiekty Flash są również wykorzystywane do ataków XSS na strony je hostujące.
Trudniej wykorzystać ewentualne błędów w oprogramowaniu dostarczającym innych wtyczek, ponieważ większość z nich nie korzysta z wirtualnych maszyn jak Java i Flash, mogą być jednak podatne na przepełnienia buforu i wykonywanie dowolnego złośliwego kodu, gdy wczytają specjalnie spreparowany plik. Niedawno widzieliśmy kilka wrażliwych wtyczek, związanych z programami Acrobat Reader, Quicktime, RealPlayer i innymi odtwarzaczami multimediów.

Zwróć uwagę, że większość z wyżej wymieniony technologii (95% przypadków) zazwyczaj zawiera publicznie znane i wciąż niezałatane luki bezpieczeństwa, ale zadaniem NoScripta jest: zapobiegać nawet nieznanym jeszcze lukom bezpieczeństwa, ponieważ ich odkrycie może być zbyt późne

Najpewniejszym rozwiązaniem jest wyłączenie potencjalnych zagrożeń na niezaufanych stronach.
1.11 Czym są zaufane witryny?

"Zaufane witryny" to takie, których właściciel jest znany i można się z nim skontaktować, także wiemy kogo pozwać, jeśli hostuje szkodliwe oprogramowanie, które może wyrządzić szkody lub ukraść dane użytkownika.*

Jeśli strona kwalifikuje się jako "zaufana", nie ma powodu do blokowania obiektów JavaScript, Java czy Flash. Jeśli pewne treści są denerwujące,użytkownik może je zablokować korzystając z Adblock Plusa.

Należy pamiętać, że "zaufanie" nie zawsze jest kwestią tylko techniczną.

Wiele stron bankowości internetowej wymaga JavaScriptu i/lub Javy nawet wówczas, gdy można się obejść bez nich, co skutkuje czasami dość głupimi błędami, na przykład uniemożliwia zalogowanie się na konto użytkownikom Firefoksa (znane są mi przypadki polskich banków, które latami osiołkują, nie spełniając standardów W3C i utrudniając korzystanie z ich usług użytkownikom przeglądarek innych niż IE). Bardziej zaawansowani użytkownicy mogą napisać skryptozakładki eliminujące pewne rodzaje błędów, czego zwykły użytkownik raczej nie będzie umiał zrobić.

Czy zatem możemy powierzyć nasze bezpieczeństwo tego typu programistom? Jeśli cokolwiek złego przydarzy się w związku z brakiem bezpieczeństwa lub błędami na stronie banku, możesz ich pozwać (albo lepiej, nagłośnić sprawę) dopóki nie pokryją szkód.

Możesz zatem powiedzieć "zaufanie" to "odpowiedzialność".

Jeśli chcesz uzyskać informacje na temat wiarygodności i bezpieczeństwa odwiedzanych stron WWW na bieżąco skorzystaj z rozszerzenia SiteAdvisor lub WOT.

Użytkownicy obeznani z JavaScriptem mogą przejrzeć kod źródłowy zanim zezwolą na jego wykonanie, w tym przypadku pomocny jest JSView.

* Możecie zapytać, co jeśli strona, której dostawcy ufam, zostanie zarażona? Czy wtedy szkodliwe oprogramowanie przedostanie się do mojego komputera?

Najprawdopodobniej nie. Kiedy porządna strona zostanie zarażona szkodliwym kodem, w 99,9% przypadków złośliwy kod dołączony do strony będzie hostowany na innym serwerze, którego adres lub domena raczej nie będzie na liście "Zaufanych witryn". NoScript domyślnie blokuje zewnętrzne skrypty, zatem użytkownik pozostaje bezpieczny, co więcej jest też ostrzegany o skryptach spoza domeny, którą odwiedza.
1.12 Po globalnym włączeniu obsługi JavaScriptu, obiekty Java i Flash także są włączane. Czy można dopuścić wykonywanie JavaScriptu, z jednoczesną blokadą obiektów Java i Flash dopóki bezpośrednio nie zezwolę na ich wykonanie w NoScripcie?

Nawet jeśli dopuszcza wykonywanie dowolnego JavaScriptu (choć nie powinieneś), możesz używać NoScripta do blokowania denerwujących apletów Javy lub nachalnych obiektów Flash.

Wystarczy następująco skonfigurować rozszerzenie:

NoScript > Opcje > Ogólne > wybierz Domyślnie, czasowo dozwolone witryny i zaznacz pełna domena
Zaznacz także NoScript > Opcje > Wtyczki > Zastosuj te ustawienia także do zaufanych witryn.

W ten sposób, tymczasowo dopuścisz możliwość wykonywania JavaScriptu na stronie głównej każdej odwiedzonej witryny (w dalszym ciągu będziesz musiał kontrolować skrypty ładowane z miejsc trzecich, zazwyczaj reklamy i śledzenie kliknięć i odwiedzin), podczas gdy restrykcje dotyczące blokowania zawartości na niezaufanych stronach (NoScript > Opcje > Wtyczki) będą stosowane wszędzie.

Zauważ, że taka konfiguracja choć przydatna do blokowania uciążliwych elementów i bezpieczniejsza niż domyślne opcje Firefoksa, jest wyraźnie słabsza pod względem bezpieczeństwa niż domyślne ustawienia NoScripta.