NoScript
NoScript 是一個為 Mozilla Firefox 和 Mozilla Application Suite網頁瀏覽器 (諸如Flock、SeaMonkey等) 所開發的自由的擴充功能(Add-ons)。NoScript 以白名單選擇性執行 JavaScript、Java、Flash、Sliverlight 以及其它外掛程式和指令碼內容。[2]
![]() | |
開發者 | Giorgio Maone |
---|---|
目前版本 |
|
原始碼庫 | |
作業系統 | 跨平台 |
語言 | 43種語言 |
類型 | Mozilla擴充功能 |
許可協定 | GPL |
網站 | noscript.net |
特點
編輯安全和使用方法
編輯在安裝之後,JavaScript、Java、Flash、Sliverlight和其它可執行內容都會被Firefox預設阻止。使用者可以手動允許這些內容。[3] NoScript會在Firefox中占據一個工具列圖示或是一個狀態列圖示,並顯示正在瀏覽的頁面上每個站點的內容被阻止或允許的情況,同時也可以修改之前阻止或允許的內容。
站點匹配和白名單
編輯對於每個頁面,可以選擇允許特定的位址,特定的域名或是根域名並執行它的內容。同時,允許一個域名之後(例如, mozilla.org),它的所有二級域名都會被預設允許(例如 www.mozilla.org, addons.mozilla.org 等等)而且與協定無關(例如HTTP和HTTPS)。而允許一個位址之後(協定:主機 例如www
黑名單
編輯頁面也可以在NoScript中被列入黑名單。把一個頁面列入黑名單不僅會阻止執行指令碼內容,同時還會去掉手動執行這些內容的選項。[5]即使安全設定低於預設值,NoScript還是可以阻擋一些網頁攻擊,例如DNS重新綁定攻擊[6]。
反XSS防護
編輯2007年4月11日,NoScript 1.1.4.7版公開發布[7],新增了一個客戶端的保護,針對類型0和類型1的XSS攻擊。一旦一個頁面試圖將HTML或是JavaScript代碼插入另一個頁面,NoScript就會過濾掉有害請求。[8]
強制HTTPS轉換
編輯2008年9月15日,NoScript 1.8.1版公開發布[9],使得使用者可以強制某些網站必須通過https訪問,增加安全性。此外NoScript也可以強制https網站把cookies加密來阻止cookies劫持。[10]
2009年9月23日,NoScript 1.9.8.9版增加了對HSTS的支援。[11]這一功能使得使用者在訪問支援的網站(例如,PayPal)的時候自動只通過HTTPS訪問,以防止中間人攻擊。[12]
預設阻止一切
編輯NoScript的預設行為是阻止所有不在白名單中的指令碼。這可能使大量依賴於JavaScript技術,例如AJAX的頁面無法正常工作。不熟悉的使用者也許會覺得相比起增加的安全保護而付出的麻煩不值得。[13]
但同時NoScript也支援一個可選的黑名單模式:使用者可以選擇全域啟用JavaScript然後禁止他們不信任的站點。即便如此組態,NoScript仍然能在很大程度上增強安全性,由於仍然具有XSS、CSRF和點擊劫持等防護功能。
內建的白名單
編輯截至2009年5月[update], NoScript的白名單預設包含了擴充功能作者的部分域名,一些Google的域名(包括一個必要的用於顯示Google Adsense廣告的域名),雅虎以及微軟,由於這些使用了AJAX的Web郵件服務可能是某些使用者唯一熟悉的使用郵件方式,如果不這樣做,這些使用者就會在安裝NoScript之後無意地把他們自己鎖住。這個白名單是可以修改的。 [14]
獎項
編輯評論
編輯和Adblock Plus的爭端
編輯2009年5月1日,Firefox擴充功能Adblock Plus的作者Wladimir Palant,宣布一周之前的NoScript 1.9.2版開始妨礙Adblock Plus正常工作。NoScript會在未經Adblock Plus和使用者允許的情況下解析並顯示贊助商頁面。Palant說NoScript使用了代碼混淆來逃避十六進制代碼層面對這個修改的檢測。[16][17]幾乎同時,Mozilla因此次事件決定修改社群準則。[18]4月30日,NoScript升級到1.9.2.3,把傳說中的代碼混淆改為了一個使用者可見的特性,即NoScript在Adblock Plus的過濾規則中將自己的網站設定為白名單。Wladimir Palant指出這個過濾規則即便被使用者刪除也會在每次啟動的時候自動添加回去,不過這看起來似乎只是個無意的Bug,因為白名單同時也可以被永久禁止或是如NoScript FAQ所說,被使用者自己的過濾規則覆蓋。[19]幾小時之後,2009年5月2日,自動更新的NoScript 1.9.2.6版徹底移除了這一白名單,並在發行記錄中對沒有在使用者事先允許的情況下修改Adblock Plus功能的行為作出公開道歉。[20]2009年5月4日,在部落格上一篇長文中,NoScript的作者Giorgio Maone以個人身分對最初含糊的說法表達了歉意,認識到這是破壞了信任關係並對此表示後悔。他同時解釋NoScript添加的Adblock Plus白名單是對EasyList反常性「攻擊」的對抗,這些攻擊針對Manoe的網站,並幾乎破壞了頁面所有的動態功能,甚至是安裝NoScript軟體套件的連結。[21]
NoScript網站和Ghostery擴充功能的衝突
編輯2009年5月1日[22]以及2009年5月3日[23]在討論NoScript對Adblock Plus的修改時,有人在NoScript支援論壇中指出NoScript官網上有一個CSS規則不停讓Ghostery這個Mozilla擴充功能彈出提示,表示網頁上有奇怪而隱蔽的"bug"。Ghostery也會提示使用者Manoe網站上Google Adsense的使用。Manoe在回應中宣稱他的CSS沒有做出這些,Ghostery的提示是由於其自身的技術問題,同時這些提示看起來很糟糕而且妨礙了網頁真實效果的展示。[24]在之後的聲明中Manoe又特別批評這些提示擋住了了捐款按鈕和使用許可的顯示[25][26]並且表示他的CSS沒有阻止Ghostery的正常工作。[27]
大多數人則認為Manoe的CSS檔案包含了足夠多的統計代碼,Ghostery的判斷並沒有錯。有人指出Ghostery在其原始狀態的提示並沒有擋住Manoe的捐款按鈕,並在幾秒鐘之後就消失了。另外,使用者們指出Manoe的一行樣式使得Ghostery無法提供一個網頁bug的資訊,並認為總體上來說這是Manoe自己的問題。但Manoe仍堅稱Ghostery顯示資訊的方式不合適和過度敏感而導致兩個擴充功能出現了矛盾。
這件事的討論擴充功能到了第三方站點,[28][29]有些人謊稱干擾了Ghostery工作的是NoScript擴充功能而不是Manoe的站點。Ghostery的作者David Cancel(頁面存檔備份,存於網際網路檔案館)原先發表了一些過激言論但隨後修正了。[30]
2009年5月6日,在此事的激烈討論平息之後,Maone公開表示他改變了自己的觀點,為此他修改了自己站點的CSS。[26]Ghostery的提示框不再被隱藏而是向頁面中部輕微移動了一些,以免擋住捐款按鈕或是許可資訊。
參見
編輯參考文獻
編輯- ^ Release 11.4.35. 2024年8月26日 [2024年8月26日] (英語).
- ^ NoScript What is it? (頁面存檔備份,存於網際網路檔案館) NoScript.net
- ^ NoScript Features-Usable security (頁面存檔備份,存於網際網路檔案館) NoScript.net
- ^ NoScript Features-Site matching (頁面存檔備份,存於網際網路檔案館) NoScript.net
- ^ NoScript Features-Untrusted blacklist (頁面存檔備份,存於網際網路檔案館) NoScript.net
- ^ Giorgio Maone. al_9x Was Right, My Router is Safe. Hackademix.net. 2010-08-01 [2010-08-02]. (原始內容存檔於2010-08-04).
- ^ NoScript's first Anti-XSS release Mozilla Add-ons (頁面存檔備份,存於網際網路檔案館) Mozilla Add-ons
- ^ NoScript Features-Anti-XSS protection (頁面存檔備份,存於網際網路檔案館) NoScript.net
- ^ Force SSL HTTPS Connections In NoScript (頁面存檔備份,存於網際網路檔案館) NoScript.net
- ^ What can NoScript do against HTTPS cookie hijacking? (頁面存檔備份,存於網際網路檔案館) NoScript.net
- ^ First public Strict Transport Security implementation. [2011-11-21]. (原始內容存檔於2019-10-18).
- ^ Strict Transport Security in NoScript (頁面存檔備份,存於網際網路檔案館)Template:Work = Hackademix.net
- ^ Peter Smith. Top 10 Firefox extensions to avoid. Computerworld. International Data Group. 17 Apr 2007 [2 May 2009]. (原始內容存檔於2009年2月5日).
- ^ Georgio Maone. Q: What websites are in the default whitelist and why?. The official NoScript FAQ. InformAction. [17 May 2009]. (原始內容存檔於2016-05-09).
- ^ PC World Award (頁面存檔備份,存於網際網路檔案館) pcworld.com
- ^ Palant, Wladimir. Attention NoScript users. Adblock Plus and (a little) more. 科隆: Wladimir Palant. 2009-05-01 [2009-05-02]. (原始內容存檔於2012-02-18).
- ^ mrd.js. [2010-04-25]. (原始內容存檔於2012-02-18).
- ^ No Surprises. 2009-05-01 [2010-04-25]. (原始內容存檔於2010-04-20).
- ^ Some hours later, on May 2, 2009, a further automatic NoScript update (version 1.9.2.6) completely removed the Adblock Plus whitelist, and public apologies were given on the release notes page for having modified Adblock Plus' behavior without asking users' consent in advance.
- ^ NoScript 1.9.2.6 release notes page. 2009-05-02 [2010-04-25]. (原始內容存檔於2019-10-18).
- ^ Maone, Giorgio. Dear Adblock Plus and NoScript Users, Dear Mozilla Community. Hackademix.net. 2009-05-04 [2009-05-18]. (原始內容存檔於2012-02-18).
- ^ NoScript support forum (頁面存檔備份,存於網際網路檔案館) "Re: Latest NoScript version (1.9.2) breaks Adblock Plus", comment #3133, Guest (2009-05-01)
- ^ NoScript support forum (頁面存檔備份,存於網際網路檔案館) "Re: Latest NoScript version (1.9.2) breaks Adblock Plus", comment #3610, Curious Inquiry (2009-05-03)
- ^ NoScript support forum (頁面存檔備份,存於網際網路檔案館) "Re: Latest NoScript version (1.9.2) breaks Adblock Plus", comment #3133, Giorgio Maone (2009-05-01)
- ^ NoScript support forum (頁面存檔備份,存於網際網路檔案館) "Re: Latest NoScript version (1.9.2) breaks Adblock Plus", comment #3704, Giorgio Maone (2009-05-04)
- ^ 26.0 26.1 NoScript support forum (頁面存檔備份,存於網際網路檔案館) "Re: Additional steps to regain and retain user trust", comment #3935, Giorgio Maone (2009-05-06)
- ^ Ghostery News (頁面存檔備份,存於網際網路檔案館) "Attention all NoScript users", comment by Giorgio Maone, (2009-05-05)
- ^ Twitter (頁面存檔備份,存於網際網路檔案館) tweet by Mark Pilgrim (diveintomark) (2009-05-03)
- ^ yardley.ca (頁面存檔備份,存於網際網路檔案館) "When blockers block the blockers", Greg Yardley (2009-05-04)
- ^ Ghostery News (頁面存檔備份,存於網際網路檔案館) "Attention all NoScript users", David Cancel (2009-05-03)