Я недавно начал использовать NoScript (в дополнение к ABP). Потребовалось немного времени, чтобы привыкнуть к нему, и иногда может потребоваться некоторое нажатие при посещении нового сайта, чтобы выяснить, почему сайт не работает и откуда мне нужно разрешить JavaScript. Стоит ли дополнительная безопасность?
Некоторые противоречия обсуждаются здесь . Я полагаю, что все сводится к тому, является ли JavaScript реальной угрозой для вашего компьютера или нет. Есть мысли по этому поводу?
security
javascript
Гордон Густафсон
источник
источник
iframe«sОтветы:
Причина, по которой NoScript вообще существует, - это не обязательно JavaScript как таковой , а дыры в безопасности браузера. В прошлом Firefox и другие браузеры имели много уязвимостей, которые позволяли вредоносному JavaScript делать плохие вещи для системы пользователя. (Во многих случаях нативный код может быть выполнен с помощью JavaScript, что означает, что веб-сайт потенциально может сделать что-нибудь для вашего компьютера.) Также существует возможность межсайтовых скриптовых атак, как сказал @Eric.
Тем не менее, эти угрозы очень редки, если вы регулярно не просматриваете сомнительные веб-сайты, так что стоит ли NoScript оправдывать ваши хлопоты. Лично я не считаю, что это того стоит, особенно если учесть, что все большему количеству веб-сайтов требуется JavaScript для работы вообще, а это означает, что вы будете постоянно вносить в белый список сценарии или целые домены (и в этот момент вы побеждаете некоторые из польза от его использования в первую очередь).
источник
См. Http://en.wikipedia.org/wiki/Cross-site_scripting и http://en.wikipedia.org/wiki/Cross-site_request_forgery для примеров того, как кто-то со злым умыслом может вызвать проблемы с использованием JavaScript.
FWIW - я лично не работаю с NoScript, так как считаю, что это большая головная боль. Иногда вам просто нужно посмотреть, где вы просматриваете, и надеяться на лучшее.
источник
JavaScript может быть использован для загрузки с диска
Но, при правильном использовании по назначению, JavaScript расширяет возможности просмотра веб-страниц
Есть плюсы и минусы, но в целом это стоит того. Для записи я всегда использую расширение NoScript, выборочно включая сценарии для сайтов, которые я регулярно посещаю, и я ожидаю, что они безопасны.
источник
Хотя технически использовались эксплойты в обработке изображений и рендеринге XML и т. П., Для всех целей и задач в настоящее время существует три направления атаки: социальная инженерия (обман пользователя, получение пользователем запуска вредоносного файла), плагины (Flash) и JavaScript.
JavaScript напрямую позволяет выполнять инструкции, и это особенно плохо в случае с Internet Explorer из-за невероятно плохого решения и реализации элементов управления ActiveX в прошлом (хотя Microsoft улучшила это положение). Вам также не нужно обязательно заходить на теневые сайты, так как реклама показывается на JavaScript, и во многих случаях вредоносная реклама показывается на законных сайтах.
Краткий ответ: если вы собираетесь беспокоиться об угрозах, следует обратить внимание на три аспекта: Internet Explorer, Flash и JavaScript.
источник
Очень мало компьютеров, если есть компьютеры, подключенные к Интернету, являются доказательством эксплойта. Для того чтобы получать вредоносную рекламу на вашем компьютере, даже не нужны были ни MeltDown, ни Spectre.
Вот почему в прошлом году эпидемия вредоносной рекламы значительно усилилась. Принудительные перенаправления от группы циркония подталкивают фальшивые вредоносные программы и фальшивые обновления Flash. Дан Гудин - 23.01.2008, 5:00
В 1990-х годах Netscape Navigator имел цифровую подпись javaScript, нам нужна улучшенная версия этого сейчас.
источник
JavaScript не обязательно должен очищать ваш компьютер, чтобы причинить вам вред. Вот несколько простых примеров снифферов JavaScript, которые можно использовать для кражи вашей банковской информации и отправки ее удаленному злоумышленнику:
https://www.smartspate.com/four-javascript-sniffer-that-will-show-how-careful-you-should-be-with-online-purchasing/
источник