NoScript gibt keine Beschränkungen vor
 

Guten Tag,

ich würde gerne einige Fragen zu NoScript stellen.
Bei der letzten Reinigung meines Notebooks wurden mir einige Programme empfohlen, die momentan laufend auf meinen Rechner arbeiten, aber den Notebook erfreulicherweise nicht ausbremsen.

Darunter:

- WOT
- WinPatrol
- NoScript

WinPatrol und WOT sind recht hilfreiche Programme.
Aber mit NoScript habe ich ein wenig meine Probleme.

Ich kann mit NoScript nicht feststellen, ob es Scripts gibt, die nicht vertrauenswürdig und damit schädlich sind.
NoScript stuft erstmal alles als gefährlich ein, erst meine persönliche Entscheidung sagt "Ja, hier darfst Du JavaScript aktivieren"

Woher weiss ich jetzt, dass auf dieser Website ich JavaScript aktivieren darf.

WOT ist da etwas anders. Dort wird anhand anderen Nutzer Seiten als sicher oder nicht sicher bewertet.

Wie kann ich mit NoScript besser arbeiten?
Wäre ja blöd auf jede einzelne Website zu gehen und immer "auf diese Seite alles erlauben" anzuklicken.

Hi magistrar,

erst einmal, um Missverständnisse auszuräumen, NoScript gibt keinerlei Bewertung über eine Webseite oder ein bestimmtes Script ab. Es stuft keine Webseite oder Script als gefährlich oder harmlos ein.

Der Umgewöhnungsfaktor ist am Anfang bei NoScript verglichen zum normalen Surfen hoch, allerdings gewöhnt man sich IMHO sehr schnell daran. Bald bekommt man ein Gefühl, welches Script man erlauben soll/ muss, damit die gewünschte Seite wieder ihre Funktionalität bekommt (vorausgesetzt es handelt sich um eine legitime Webseite).
NoScript verbietet von Anfang jedes Script und der Nutzer muss die gewünschten Scripte zu einer Whitelist hinzufügen, damit sie in Zukunft/ temporär erlaubt werden. Temporär macht meistens keinen Sinn, da man entweder einem Script vertraut oder nicht. "Alle Scripte auf dieser Seite erlauben" ist meistens auch nicht sehr sinnvoll. Ich bevorzuge die sukzessive Variante, sprich, wenn ich der Seite vertraue, dann erlaube ich das am für mich sinnvolsten erscheinende Script, um die alte Funktionalität wieder zu erlangen. Wann sollte man Scripte erlauben? Auch nur dann, wenn die Seite vertrauenswürdig ist und wenn man die volle Funktionalität genießen möchte, oftmals kommt man auch mit der abgespeckten aus.

Gehen wir das Mal an einem realistischen Beispiel durch z.B. GMX.net:
Auf der Startseite gibt es 3 Scripte:
- gmx.net
- uimserv.net
- ui-portal.de
- tifbs.net

Wir melden uns an. Wir sehen nun nicht die normale Email Maske, sondern eine mit NoScript Logo versehene Seite. Wer die automatische Weiterleitung aktiviert hat, sieht eine Seite mit folgendem Inhalt: "In Ihrem Browser ist JavaScript deaktiviert. Um den vollen Funktionsumfang Ihres GMX Postfaches zu nutzen, aktivieren Sie bitte JavaScript in Ihrem Browser.". Es wird sogar eine Version mit "reduziertem Funktionsumfang" bereit gestellt.
Das sinnvollste erscheinende Script ist erst einmal gmx.net. Erlauben wir dieses, lädt NoScript automatisch die Seite neu. Allerdings wird die Webseite mit der Warnung erneut geladen. Wir steuern also wieder auf "gmx.net" zu, probieren es erneut. Es ist ein Banner zu sehen, allerdings sind die gewohnten Funktionen nicht vorhanden. Folgende Scripte sind verfügbar:
- ui-portal.de
Wir aktivieren dieses, da es sich auch plausibel anhört (UI -> Use Interface). Das "Home UI" wird angezeigt. Klicken wir nun auf Posteingang und danach auf eine beliebige Mail, ist die Funktion Mail anzeigen nicht vorhanden. Folgende Scripte sind verfügbar:
- gmxpro.net
- tifbs.net
Gmxpro.net hört sich wesentlich plausibler an. Also aktivieren wir dieses und wir haben den vollen Funnktionsumfang. Man sieht also, dass man nicht jedes Script erlauben muss, auch bei Seiten, die abhängig von JavaScript sind. Man kann also oft schon am Namen entscheiden, welches Script wichtig ist und welches für Werbung von Drittanbietern zuständig ist.

Vielen Dank für die Hilfe und das Beispiel.
Also ich habe anhand Deiner Beschreibung gemerkt, dass ich nicht jeweils einzelne Scripte erlaube.

Vielmehr klicke ich auf "Alle Beschränkungen für diese Seite aufheben".
Woher soll ich als Laie auch wissen, welches Script gut und nützlich ist und welches bedrohlich.

Also das mit "alle Beschränkungen aufheben" mache ich eigentlich nie oder höchstens mal temporär zum Test.
Eigentlich erlaube ich meistens Skripte von der Seite selbst, und vom Rest probiere ich aus, was man noch braucht, damit alles läuft. Alles, was mit "ad..." oder so anfängt, bleibt schön verboten.

Das liegt aber auch mit daran, dass ich kein AdBlock benutze. Ich bin bereit und finde es fair, mir Werbung anzusehen, solange sie aus Bildern und Text besteht; dagegen bin ich, wenn die Werber mir Skripte zumuten wollen.

Von "Alle Beschränkungen aufheben" rate ich ab. Dann kannste gleich auf NoScript verzichten.
MWie Jig Saw schon sagte, es braucht etwas Eingewöhnung.
Diesem Satz von Jig Saw "Temporär macht meistens keinen Sinn, da man entweder einem Script vertraut oder nicht." stimme ich allerdings nicht zu. Temporär aufheben macht sehr wohl Sinn bei Seiten, die man nur gelegentlich oder zumindest nicht ständig besucht. Wenn z.b. eine Seite gehackt wurde, dann kann auch ein vormals seriöses Skript eine Gefahr darstellen und manchmal kann man auch erahnen, dass die Seite gehackt wurde, z.B. durch andere merkwürdige Skripts (wie xxxporn o.ä.). Man sollte sich die Skripts schon etwas genauer ansehen, dann bekommt ein Feeling dafür, was man zulassen sollte und was nicht.

Ich verwende die Funktion "(Temporär) alle Beschränkungen für diese Seite aufheben" nie, damit können neue Scripte eingebunden werden und die bisher selektierten erlaubten Skripte werden weiterhin erlaubt, daher wird bei meiner Strategie "xxxporn" von Anfang an geblockt, auch wenn es neu eingebunden wird ;)

Hallo Jig Saw. Ich meinte gar nicht temporär für ALLE Seiten aufheben sondern temporär für DIESE (eine speziell) Seite aufheben. Da war offenbar ein Mißverständniss. Für alle Seiten aufheben aktiviere ich auch nie.:nono:

Ich weiss gar nicht, welche Scripte auf welchen Websiten laufen und wüsste auch nicht genau, welche nun ich erlauben dürfte. Leider heißen nicht alle xxxporn oder so.

Na ja, dieses Board läuft zum Beispiel wunderbar, wenn man nur trojaner-board.de erlaubt (damit man die Formatierungsleiste richtig benutzen kann) und alles andere (die google-Sachen) verboten lässt. Für die Suche kann man ja man temporär google.de erlauben. GoogleADservice gehört auf jeden Fall verboten, weil ad=Werbeanzeige bedeutet.
Bei Facebook muss außer den Skripten, die mit "facebook" heißen, noch akamaihd.net erlaubt werden, damit es richtig läuft.
Wenn eine Seite youtube-Inhalte einbindet, die man sehen möchte, muss man evtl youtube.com und ytimg.com erlauben.
Das muss man halt ausprobieren. Immer das Minimum, das nötig ist, damit eine Seite richtig funktioniert. Wenn du das einmal eingestellt hast, bleibt es ja für die Seite auch so erhalten. Wenn du einmal für ein paar Sekunden zu viel Werbung erlaubst, fängst du dir ja normalerweise auch nicht gleich damit etwas ein.

Danke für den Tipp. Ich denke, ich werde mir genauer angucken, was ich aktivieren darf und was nicht.

Allerdings habe ich bisher nicht unter "Einstellung" das jeweilige Script aktivieren können. Sondern immer nur alle. Und dann kann ich einige Scripts einzeln deaktivieren. Aber von Anfang an aktivieren kann ich nicht, das ist seltsam.

Ich mache das auch nicht unter "Einstellung". Diese Leiste lasse ich mir auch gar nicht mehr anzeigen. Oben links neben der Adressleiste ist so ein kleines NoScript-Symbol (blaues S auf weißem Grund mit rotem Verbotszeichen), wenn man da drauf klickt, erscheint eine Liste. Das oberste ist jeweils die aktuelle Seite, dann kommen andere Adressen, die auf dieser Seite Skripte haben Jedes kannst du "erlauben" oder "temporär erlauben". Wenn es erlaubt ist, kannst du es "verbieten". Diese Liste benutze ich. Wenn irgendwas nicht läuft, erlaube ich als erstes das obere, und wenn das immer noch nicht alles bringt, sehe ich mir die anderen an.

UPD: So wie hier:http://hackademix.net/wp-content/upl.../site-info.png

Ok, ich werde es gleich bei einer Website, die ich noch nicht besucht habe, austesten. Vielen Dank.

Das ist irgendwie nicht möglich.

Nun bin ich auf einer Website, wo ich auf "Anzeigen" klicken möchte und das geht nicht.
Ich gehe auf das Symbol oben links und sehe nur:

Youtube erlauben
Google erlauben

Kürzlich blockierte Websites - bringt ja auch nichts, weil das ja auf andere Website sich bezieht

Und egal ob ich Youtube oder Google erlaube oder verweigere, ich kann nicht klicken.

Allerdings steht unten "Scripte sind momentan verboten: 5"

Aber Google und Youtube sind ja nur zwei..`???

Und wenn du Youtube und Google erlaubst, kommen dann evtl. noch mehr Skripte zu erlauben? Welche Seite ist es denn, ich will es auch mal probieren.

Nein, es kommen keine weiteren Scripte...

hxxp://www.dhbw-vs.de/hochschule/duale-studiengaenge/freie-studienplaetze.html

Das "anzeigen" funktioniert bei mir, wenn ich dhbw-vs.de, ajax.googleapis.com und google.com erlaube.

Also zuerst steht da in der Liste:

dhbw-vs.de erlauben
youtube.com erlauben
google.com erlauben

Wenn ich dhbw-vs.de und google.com erlaubt habe und noch mal drauf gehe, habe ich

dhbw-vs.de verbieten
googleapis.com erlauben
youtube.com erlauben
google.com verbieten

Da musst du dann auch noch googleapis.com erlauben. Wenn du nicht paranoid bist, dass Google dich ausspioniert, machst du das nicht nur temporär, sondern lässt es so, da auch auf anderen Seiten (hier z.B. für die Formatierungsleiste) google.com und googleapis.com mit eingesetzt werden. Youtube würde ich auch ständig erlaubt lassen. Wenn du dann erst mal so eine Reihe von Sachen erlaubt hast, auf die verschiedene Seiten zurückgreifen, brauchst du meistens auch bei neuen nur noch das oberste, die Seite selbst, zu aktivieren, damit alles läuft.
(Ich persönlich knipse die verschiedenen Skripte von Google... allerdings immer wieder zwischendurch aus, aber wie sinnvoll das ist, weiß ich nicht...)

Also ich blick da nicht ganz durch...

ich hab jetzt auch:

youtube.com
google.com
ajax.googleapis.com

Die ich entweder verbieten, oder halt erlauben kann.

Wenn ich Google.com erlaube, komme ich nicht weiter.
Erst wenn ich ajax.googleapis.com erlaube.


Anderes Beispiel:

hxxp://www.n-joy.de/multimedia/inside_multimedia/Onlinekauf-per-Smartphone-teurer,onlinekauf103.html

Klicke ich auf "Teilen", gibt es da keine Website, bzw. Fehlermeldung.
Sehe aber, dass 3 Scripte blockiert werden.

Diese kann ich aber über das Symbol gar nicht einsehen, um welche es sich dabei handelt.

Bei mir gibt es da nur n-joy.de selber zu erlauben, und wenn ich das tue, dann funktioniert auch das "teilen".

Ich sollte eventuell hier eine Website angeben, die ich nicht selber besuche, wo ich selber alle Scripte erlaube und wo ich dann von Dir erfahre, was ich hätte tun sollen..

Ich werde demnächst hier eine Website vorschlagen, oder eventuell kannst Du ja eine Website vorschlagen...

Also manchmal wird es schon kniffliger, das gebe ich ja zu, siehe hier: http://www.trojaner-board.de/152498-...-noscript.html
Aber im Ganzen bleibe ich dabei, dass diese Ausprobier-Strategie nicht zu gefährlich und nicht zu kompliziert ist. Irgendwann hast du dann die gängigen Drittanbieterskripte, die genutzt werden, in deinem Erlaubten zusammen und brauchst bei neuen Seiten allermeistens nur noch das oberste zusätzlich zu erlauben. Falls du überhaupt Skripte nutzen willst, fremde Seiten besucht man ja auch oft nur, um Text zu lesen.

Aber vielleicht ist dein Surfverhalten ja so anders als meins, dass sich diese Strategie wirklich nicht auf dich übertragen lässt. Dann muss dir mal jemand helfen, eine Alternative zu suchen. Es gibt ja noch mehr AddOns, die sich mit Skripten befassen, aber ich weiß nicht, wie vertrauenswürdig die sind. NoScript ist halt das Bewährteste und Empfohlenste.

Ne, das mit dem Endlos-Laden passiert mir irgendwie nicht.

Beispiel: www.deutschepost.de

9 Scripte sind momentan verboten.
Aber im Menü kann ich kein einziges Script aktivieren, ich kann nur die Website selber als "vertrauenswürdig" anklicken, sprich "deutschepost.de erlauben".

Ja, einzelne Scripte zu aktivieren, das wäre natürlich auch noch manchmal vorteilhaft. Weiß ich aber nicht, ob es ein Plugin gibt, das das kann.
Zum Schutz vor Malware ist es sicher nicht erforderlich, da erlaubt man halt die Scripte von der Hauptseite, wenn man sie braucht, und die von bekannten Hilfsseiten wie google.com, und lässt die von Werbeseiten verboten.

Vielleicht ein dämliches Beispiel:

www.siemens.de

34 Scripte... aber ich kann keins aktivieren.

Kannst du mal einen Screenshot machen ? Ich sehe erst nur 1 Skript (siemens) und wenn ich das temporär aktiviere noch eins (opinionbar) welches ich nicht aktiviere.:wtf:

Ja, ich ja auch...
aber unten steht dennoch "SCRIPT: 37".
Was bedeutet das?

Ich denke, du hast schon recht, dass das mehrere Scripte sind, die von derselben Seite kommen, und dass man KEINE Möglichkeit hat, bei diesen detaillierter auszuwählen. Ist ja auch sicherheitstechnisch nicht relevant: entweder eine Seite bzw. ein Drittanbieter ist vertrauenswürdig, dann kannst du von ihr alle direkt dort befindlichen Skripte annehmen. Oder es handelt sich um einen Werbeanbieter, bei dem gefährliche oder ausspionierende Skripte möglich sind, dann willst du von diesem gar nichts haben.

Jedoch finde auch ich es manchmal schade, dass man hier nicht ins Detail gehen kann. Nicht wegen Sicherheit, sondern wegen Komfort. Zum Beispiel hätte ich eine Zeitlang gern bei Facebook nur das Script geblockt, das die Seite regelmäßig neulädt, und die anderen erlaubt. Aber ich glaube nicht, dass es dafür eine Möglichkeit gibt.

Also Du meinst, NoScript zeigt die Scripte an, die ich auf meine Kappe und Verantwortung an aktivieren kann. Alle anderen sind irrelevanten, was die Sicherheit angeht. Aber wenn ich die anderen irrelevanten nicht aktivieren kann, dann wird die Website auch so bleiben, dass ich sie nicht richtig angezeigt bekomme.

Nein, ich meine, NoScript aktiviert die Scripte anbieterweise. Da kannst du ja in den Einstellungen sogar noch wählen, wie exakt du es haben willst mit der Domainangabe. (www.blabla.com und de.blabla.com können einzeln behandelt oder mit blabla.com zusammengefasst werden).
Dann werden aber jeweils alle Einzelscripte erlaubt oder verboten, die von dieser Domain/Seite kommen.

Ok,
dann sollte ich mir das mal genauer angucken.

Oder zum Beispiel das hier:

http://www.tv-suedbaden.de/

Ich will mir ein Video anschauen.

http://www.tv-suedbaden.de/schoenau-jogi-loews-suedbadische-wurzeln-63474/

Was habe ich alles verboten:

facebook.com
ytimg.com
addthis.com
google.com
youtube.com


Weil ich vermute, dass das über Youtube läuft, aktiviere ich Youtube.
Auch Ytimg.com aktiviere ich, weil ich denke, dass es was mit Youtube zu tun hat.

Aber nichts passiert.
Einige schnelle Lösung: Alle Scripte aktivieren!

Aber dann bräuchte ich kein "NoScript"

Mit youtube und ytimg hast du Recht Kannst du immer erlaubt lassen. Leider werden auch Google und Facebook häufig von anderen Seiten genutzt. Wenn du nicht zu paranoid in Bezug auf die beiden bist, sind auch sie dann bei dir standardmäßig aktiviert und bei einer neuen Seite brauchst du dir keine neuen Gedanken darüber zu machen.
Aber addthis ist auf jeden Fall eine Werbesache und sollte verboten bleiben.
Bei mir musste auch noch web1tv.de (wäre mir neu gewesen) und googlesyndication.com (hätte ich sowieso schon aktiviert gehabt von anderen Seiten, die das nutzen) erlaubt werden.
Natürlich passiert meistens nichts schlimmes, wenn du schnell mal alles erlaubst, wenn es schnell gehen muss. Aber dann kannst du ja später, wenn du Zeit hast, ein bisschen sortieren. Wie gesagt, die meisten Standard-Fremdanbieter hast du dann irgendwann drin, ein-zwei zusätzliche pro Seite musst du vielleicht noch aktivieren, der Rest ist Werbung und potenziell unsicher.

Ich will jetzt keine unendliche Geschichte drauß machen.
Aber durch Zufall war ich auf diese Website hier:

Mitarbeiter führen Unternehmen. Haufe Talent Management Software

Und dort habe ich die Schaltfläche von NoScript oben links angeklickt. Alle verfügbaren Scripte sind erlaubt, bzw. nicht verboten. Demnach sollte das Video laufen.

Die angezeigten Skripte sind: linkendin.com, typekit.com, googleleadservices.com

Allerdings zeigt mir die Leiste unten:

"Skripte sind momentan verboten: <SCRIPT>: 21"

Also auf dieser Website laufen nach meiner Rechnung 24 Skripte, wovon ich drei verbieten oder erlauben kann. Ja, und was ist mit den anderen 21?

Die kann ich nur erlauben, wenn ich "umantis.com erlauben" anklicke.

Aber vielleicht brauche ich ja nicht alle 21 Skripte, und vielleicht ist eins ja nicht vertrauenswürdig oder gefährlich. Und vielleicht ist nur eins nötig erlaubt zu werden um das Video laufen zu lassen?

NoScript gibt mir diese Wahlmöglichkeit gar nicht, zu entscheiden. Stattdessen gibt NoScript mir die Möglichkeit einige wenige zu erlauben oder eben zu verbieten.
Egal wie, kann ich in beiden Fällen das Video nicht laufen lassen.

Hallo da draußen !

Ich möchte gern dieses Thema nochmal aufwärmen , wenn ich darf ( weil es meinem Problem
am nächsten kommt und ich noch keine Lösung gefunden habe ) .

Problem : GMX Account läuft mit NoScript nicht mehr .

Mir ist klar , daß es an ui-portal.de liegt !

Ich behebe das Problem momentan dadurch , daß ich halt ui-portal.de temporär erlaube .
Nun suche ich aber nach einer "eleganten" Lösung .

Ich möchte ui-portal.de nicht pauschal freigeben , sondern nur für gmx.net erlauben !!!

Ich weis , daß das über ABE ( Application Boundaries Enforcer ) geht , ich bin aber scheinbar zu dusselig , das hinzukriegen .
Habe schon Stunden nach ner Lösung gegoogelt und mich in die Hilfe von ABE reingelesen , diverse Sachen probiert .... ich packs aber einfach nicht .

Ich hoffe es gibt einen smarten Menschen , der mein Problem lösen kann .... ich wäre seeehr dankbar !

Lösung: kein webmail nutzen, sondern GMX über Mozilla Thunderbird.

Thunderbird nutze ich schon lange , aber manchmal muß man halt auf den GMX Account um was auf die Black- oder Whitelist zu packen oder mal "aufzuräumen" .