Przewodnik po Firefox NoScript, na który wszyscy czekali
- Kategoria: Firefox
Aktualizacja : Opublikowaliśmy nowy Przewodnik NoScript dla przeglądarki Firefox 57 i nowszych .
Jednym z głównych powodów, dla których używam przeglądarki Firefox na moim komputerze stacjonarnym, a nie innej przeglądarki, jest to, że rozszerzenie NoScript jest dostępne tylko dla tej przeglądarki.
NoScript robi to, co sugeruje nazwa, blokuje automatyczne uruchamianie skryptów na większości witryn internetowych. Zwiększa to znacznie bezpieczeństwo, ponieważ większość ataków przeprowadzanych na stronach internetowych wymaga, aby skrypty były skuteczne. Poprawi to również średni czas ładowania strony, ponieważ mniej treści musi być ładowanych, gdy włączony jest NoScript.
Wadą jest to, że funkcjonalność witryny może również nie działać poprawnie w wybranych witrynach. Ponieważ skrypty są domyślnie blokowane, witryna może po prostu nie działać w ogóle lub tylko częściowo z zainstalowanym NoScriptem.
Rozszerzenie oferuje jednak elementy sterujące umożliwiające rozwiązanie tego problemu, ponieważ można zezwolić skryptom na tymczasowe lub stałe uruchamianie w witrynach.
Inną kwestią jest to, że skrypty są blokowane na poziomie domeny. Większość witryn ładuje skrypty z różnych źródeł. Najpierw z własnej domeny, ale także z serwerów firm trzecich, na przykład w celu wyświetlania reklam, używania skryptów śledzących lub korzystania z hostowanej wersji jquery.
Często trudno jest stwierdzić, które skrypty są wymagane do obsługi podstawowych funkcji witryny, a które nie. Dotyczy to zwłaszcza internautów, którzy mają niewielkie doświadczenie w zakresie domen, technologii stron internetowych i skryptów.
Konfiguracja NoScript
Doświadczenie NoScript po wyjęciu z pudełka jest całkiem dobre. Możesz go używać bez modyfikacji, ale jeśli chcesz w pełni wykorzystać dodatek, możesz przynajmniej raz przejrzeć opcje, aby upewnić się, że wszystko jest skonfigurowane w optymalny sposób.
Jak wspomniałem wcześniej, NoScript domyślnie blokuje skrypty na większości witryn internetowych. Rozszerzenie jest dostarczane z białą listą domen, co oznacza, że witryny, które tu znajdziesz, mogą uruchamiać skrypty, które hostują w swojej własnej domenie.
Porada boczna : NoScript rozróżnia domeny główne i subdomeny. Domeny takie jak addons.mozilla.org i mozilla.org są obsługiwane przez rozszerzenie jako różne domeny.
Lista domen znajdujących się na białej liście to addons.mozilla.org, google.com, googleapis.com, live.com, hotmail.com, outlook.com lub paypal.com.
Możesz usunąć dowolne witryny umieszczone na białej liście w sekcji Biała lista w opcjach NoScript.
Moją sugestią byłoby usunięcie domen, których nie chcesz tutaj wyświetlać. Zalecam jednak pozostawienie wewnętrznych stron Firefoksa na liście, ponieważ w przeciwnym razie napotkasz problemy.
Tutaj możesz również importować lub eksportować zaznaczenie, przydatne, jeśli używasz Firefoksa na wielu urządzeniach i chcesz używać tej samej białej listy.
Druga zmiana konfiguracji, którą możesz chcieć zrobić, dotyczy ikony NoScript. Możesz umieścić go w miejscu, do którego masz łatwy dostęp.
Umieściłem mój na pasku dodatków, ale po usunięciu paska w Firefoksie Australis (wersja 29 jest celem) możesz również umieścić go na głównym pasku narzędzi przeglądarki.
Inną opcją, którą masz, jest użycie menu kontekstowego wyłącznie do tego. NoScript dodaje wpis do menu kontekstowego przeglądarki Firefox, które można kliknąć prawym przyciskiem myszy, którego można użyć, aby zezwolić lub zabronić stronom lub otworzyć opcje i inne funkcje rozszerzenia.
Jeśli użyjesz ikony, możesz skorzystać z kilku inteligentnych funkcji, które programista wbudował w rozszerzenie. Aby zezwolić na wszystkie skrypty w bieżącej witrynie, kliknij ikonę środkowym przyciskiem myszy. Możesz ponadto włączyć przełącznik lewym przyciskiem myszy, aby zezwolić lub zablokować witrynę najwyższego poziomu w sekcji Ogólne w opcjach.
Możesz zauważyć, że komunikat o zablokowanych skryptach jest wyświetlany na ekranie w powiadomieniu. Może to być przydatne, jeśli używasz wyłącznie menu kontekstowego, ale jeśli używasz ikony, jest ona również wyróżniona przez samą ikonę.
Wolę usunąć powiadomienie, ponieważ blokuje część ekranu, nie mówiąc mi niczego, czego jeszcze nie wiem.
Możesz wyłączyć powiadomienie na karcie powiadomień w opcjach.
Zamiast wyświetlać komunikat, możesz także włączyć komunikaty dźwiękowe. Nie polecam tego robić, zwłaszcza jeśli ładujesz wiele witryn podczas sesji przeglądania.
Wracając do listy witryn wyświetlanych przez NoScript po kliknięciu lewym lub prawym przyciskiem myszy na ikonie.
W menu są wyróżnione wszystkie skrypty, które witryna próbuje uruchomić. Domena główna jest zawsze wymieniona na dole listy, podczas gdy wszystkie inne domeny są wymienione u góry.
Wskazówka : Aby zapewnić pełną funkcjonalność witryny, zwykle wystarczy zezwolić na domenę główną. Zalecam ładowanie witryn bez białej listy, aby sprawdzić, czy działa po wyjęciu z pudełka, czy nie. Jeśli tak się nie stanie, prawdopodobnie przyczyną jest skrypt, który należy załadować. Są wyjątki od reguły. Może się okazać, że niektóre witryny korzystają z sieci dystrybucji treści, np. cdn.ghacks.net, na które również musisz zezwolić, a niektóre witryny ładują biblioteki z witryn innych firm, takich jak jquery.
Jak wspomniałem w moim 6 poradnik NoScript , możesz kliknąć środkowym przyciskiem myszy dowolną domenę tutaj, aby przeprowadzić kontrolę bezpieczeństwa. Kliknięcie środkowym przyciskiem powoduje przejście do strony w witrynie NoScript, która zawiera odsyłacze do kilku popularnych usług zabezpieczeń witryn, takich jak Web of Trust, McAfee Site Advisor lub hpHost.
Użyj ich, aby sprawdzić domenę, o której nic nie wiesz, zanim na to zezwolisz. Alternatywą jest ręczne sprawdzenie domeny Virustotal .
Wskazówka : Kliknij prawym przyciskiem myszy nazwę domeny, aby skopiować ją do schowka.
Kopać głębiej
Wejdźmy trochę głębiej. NoScript oferuje więcej niż tylko blokowanie skryptów. Może być również używany do obsługi treści osadzonych.
Chociaż te treści są domyślnie blokowane dla witryn, które nie znajdują się na białej liście, nie są przeznaczone dla witryn, które tymczasowo lub na stałe umieściłeś na białej liście.
Oznacza to, że treści takie jak Java, Flash, Silverlight lub inne wtyczki są domyślnie ładowane w witrynach z białej listy. Jeśli nie chcesz, aby tak się stało, musisz wprowadzić następującą zmianę konfiguracji w obszarze Opcje NoScript> Osadzenia.
Oto przykład, w którym może to być przydatne. Załóżmy, że musisz dodać witrynę do białej listy, aby móc korzystać ze wszystkich jej funkcji. W ten sposób możesz nieumyślnie zezwolić na odtwarzanie reklam Flash, filmów lub innych treści, które wymagają użycia wtyczek.
Chociaż zezwalanie na odtwarzanie tych treści w witrynach z białej listy, takich jak YouTube, podczas odwiedzania witryny w poszukiwaniu filmów, może mieć sens, poprawi to bezpieczeństwo i prywatność, jeśli zastosujesz te ograniczenia również do witryn z białej listy.
Oznacza to jednak więcej klikania, aby włączyć te treści, ale jest to kompromis.
Jeśli włączysz tę funkcję, za każdym razem, gdy klikniesz zablokowaną zawartość, otrzymasz wiadomość z potwierdzeniem. Możesz to wyłączyć, wyłączając opcję „Pytaj o potwierdzenie przed tymczasowym odblokowaniem obiektu”.
Uwaga : możesz skonfigurować zabronione elementy na tej samej stronie. Zatem teoretycznie możliwe jest zezwolenie na niektóre treści, a inne na zablokowanie. Jedną z możliwych opcji jest zezwolenie na Flasha i zablokowanie wszystkich innych treści.
Zaawansowane opcje
Zaawansowane opcje mogą początkowo wyglądać przerażająco, ponieważ znajdziesz tutaj wiele terminów technicznych, takich jak XSLT, XSS, ABE, a nawet ping.
Ogólnie rzecz biorąc, te opcje najlepiej pozostawić w spokoju, chyba że potrzebujesz określonych funkcji.
Jedną z funkcji, która może być tutaj interesująca, jest obsługa bezpiecznych plików cookie. Możesz skonfigurować NoScript, aby wymuszał szyfrowanie plików cookie ustawionych przez HTTPS dla wybranych witryn.
Niektóre usługi internetowe umieszczają pliki cookie za pośrednictwem bezpiecznego połączenia, ale nie oznaczają tych plików cookie jako bezpiecznych. W rezultacie żądania dotyczące tego pliku cookie z tej samej domeny są dozwolone, nawet jeśli pochodzą ze stron innych niż HTTPS.
Możesz jednak napotkać problemy w niektórych witrynach, tak że możesz nie być w stanie zalogować się w tych witrynach lub wylogować się automatycznie po przełączeniu stron.
Informacje o tych problemach można znaleźć, otwierając konsolę internetową przeglądarki Firefox za pomocą skrótu Ctrl-Shift-i. Użyj tych informacji, aby dodać wyjątki od reguły.
Inne funkcje, którym warto się bliżej przyjrzeć, to opcje zakazujące tworzenia zakładek w niezaufanych witrynach, zezwalające na lokalne łącza do zaufanych witryn lub uniemożliwiające próbę naprawiania łączy JavaScript.
Dalsza lektura
Prawdopodobnie najlepsza lokalizacja na dodatkowe informacje o NoScript jest FAQ że autor utrzymuje. Poniżej wyjaśniono kilka terminów technologicznych, a także sekcja porad i wskazówek, które mogą okazać się przydatne.
Pytania są zadawane na podstawie oficjalne forum który jest dobrze uczęszczany.