NoScript ... verre van gladjes

[bert470]

Al die rare toeters en bellen nu in NoScript werd ik ook zat.
Ik gebruik nu uMatrix, op aanrader van 1 van jullie, sinds een week en kan er al niet meer buiten.
Is een goede vervanger in FF.
Verder gebruik ik Pale Moon vanwege de normale NoScript zoals die voorheen was.

[partyrabbit]

Ik gebruik nu uMatrix, op aanrader van 1 van jullie, sinds een week en kan er al niet meer buiten.
Is een goede vervanger in FF.

Blockt deze alle scripts? Zoals noscript?
Beter als uBlock die de nodige scripts gewoon actief laat? (verder vind ik ublock overigens gewoon prima)

[bert470]

Zet deze extensie in je browser FF.
Bekijk de werking op Youtube (uMatrix).
En maak dan voor jezelf uit hoe je deze blocker vindt.
Iedereen heeft zo zijn eigen mening.
Ik gebruik ook uBlock.

[partyrabbit]

Zet deze extensie in je browser FF.
Bekijk de werking op Youtube (uMatrix).
En maak dan voor jezelf uit hoe je deze blocker vindt.
Iedereen heeft zo zijn eigen mening.
Ik gebruik ook uBlock.

Daar is een forum toch voor?  Zoals vragen naar en meningen ervaringen van anderen over de werking van software?
Anders kan iedereen wel overal zelf naar googelen en youtuben en kunnen alle forums wereldwijd wel sluiten, toch?

[Mikkel]

Ik ben NoScript blijven gebruiken, ook al vind ik de gui nog steeds veel en veel minder dan vroeger. Er ging/gaat soms nog iets niet zoals het zou moeten, maar er is vrijwel elke dag een update, dus er wordt in ieder geval hard gewerkt om het klagende gebruikers naar de zin te maken. 

[kfboerne]

Om nog even op uMatrix terug te komen. Het is even leren hoe het werkt. Ik heb in #17 een paar links bijgevoegd voor een tutorials die voor mij goede uitleg gaven. Even een paar uurtjes tijd in steken en het betaalt zich absoluut terug. Lijkt - uiteraard - qua UI veel op uBlock Origin. Op die manier heb je altijd een 'backup-script-killer' mocht NS tzt weer prettig en correct werken

Het blijft voor mij een raadsel waarom de ontwikkelaar van NS heeft gehandeld zoals hij heeft gedaan. Natuurlijk zal het pittig zijn om NS aan te passen aan de nieuwe FF Quantum, maar even wat 'try-outs' hier en daar doen voor wat betreft de nieuwe UI had hem al snel duidelijk gemaakt dat dat niet zo'n topidee is.

aanvulling : hier nog een Duitse videotutorial : https://www.youtube.com/watch?v=af0tUR0GZUI
Mocht iemand nog twijfelen of uMatrix wel alle scripts tegenhoudt, in deze tutorial wordt door de diehard-script-killer-auteur uitgelegd hoe je werkelijk alles kunt blokkeren. Hij vindt de standaardinstellingen niet ver genoeg gaan. Ik wel zodat ik zijn tip hieromtrent niet heb opgevolgd. Maar voel je uiteraard vrij om dat wel te doen.
Succes!
 

[HarzG]

Als je Chromium met Scriptsafe gebruikt, komt de gebruikerservaring m.i. in de buurt van Firefox met de oude NoScript. Daar is het eenvoudig mogelijk om "tijdelijk" scripts toe te staan. Hierbij worden niet alle scripts toegestaan. Het kan net als met NoScript apart voor elke op de achtergrond opgevraagde subsite plaatsvinden.

Een beetje knullig is overigens wel dat een klik op "tijdelijk" toestaan de button veranderd in doorgehaald. Dat is niet echt intuïtief want bij mij komt het over alsof "tijdelijk" toestaan werd uitgeschakeld i.p.v. ingeschakeld.

Als een add-on een meerwaarde wil hebben voor de doorsnee-gebruiker, moeten de opties eenvoudig aan/uit kunnen. Bij NoScript wacht ik nog even totdat de beschikbare opties vereenvoudigd zijn. Misschien is het vanwege de omvang van NoScript zinvol om een modus "doorsnee-gebruiker" en een modus "ervaren gebruiker" te maken. uBlock origin heeft dat ook.

[partyrabbit]

Om nog even op uMatrix terug te komen.

Dank hiervoor.

[kfboerne]

Graag gedaan!

[Tom]

Ik gebruik nu Noscript Suite  lite en dat gaat fijn plus Ublock origin en meer moet het niet zijn ,Firefox en ook Chrome draaien in de firejail dus ook dat is safe ,en ook in de Privaat modes !.

[kfboerne]

UPDATE

Een linuxgebruiker schreef gisteren in de review-sectie van de NS webex :

'On my Ubuntu16.04 desktop, the latest version's setting page always stuck Firefox.'

Antwoord van de developer :

'Linux-specific Firefox bug, actively looking for a work-around

This appears to be a rendering issue affecting Firefox on Linux, we're actively searching for work-arounds, please follow up here: https://forums.informaction.com/viewtopic.php?f=10&t=24076'

Dit even ter info. En we wachten verder af...

[kfboerne]

Het schijnt dat de bug inmiddels is verholpen.

De review meningen blijven echter behoorlijk verdeeld. Aardig wat mensen zijn overgegaan naar uMatrix. De ontwikkelaar van NoScript is hier duidelijk niet blij mee en stelt nu het volgende :

"Beware of security

uMatrix is OK if you want to disable annoying stuff. Notice, though, that you can do the same with NoScript, managing a whitelist (TRUSTED preset), blacklist (UNTRUSTED) and even CUSTOM per-site settings.
HOWEVER, if you're after security, you cannot rely on uMatrix over NoScript. For instance, even if you're blocking scripts with uMatrix on a site you don't trust, it can execute JavaScript by exploiting cross-site request vulnerabilities on a site you trust. This is prevented by NoScript's anti-XSS filter."

Technisch gezien gaat mij dit boven de pet met 'cross-site request vulnerabilities' De ontwikkelaar stelt dus dat uMatrix onvoldoende bescherming biedt itt NoScript. Een aardig gewaagde uitspraak.
Nou reikt mijn technische kennis tekort om hier een gefundeerd oordeel over te kunnen geven, zodat ik benieuwd ben of iemand die wel de nodige kennis hieromtrent heeft, zijn of haar mening kan geven. Klopt hetgeen de ontwikkelaar van NoScript hier stelt?
Thx...

[partyrabbit]

Technisch gezien gaat mij dit boven de pet met 'cross-site request vulnerabilities' De ontwikkelaar stelt dus dat uMatrix onvoldoende bescherming biedt itt NoScript. Een aardig gewaagde uitspraak.
Nou reikt mijn technische kennis tekort om hier een gefundeerd oordeel over te kunnen geven, zodat ik benieuwd ben of iemand die wel de nodige kennis hieromtrent heeft, zijn of haar mening kan geven. Klopt hetgeen de ontwikkelaar van NoScript hier stelt?
Thx...

Mijn inzicht hierin is mogelijk ook niet volledig maar ik zie toch wel een wezenlijk verschil.
Waar uMatrix vooral 3rd-party hosts blocked (zoals uBlock) blocked noscript alle soorten scripts (zelfs van de 1st-party host). Dan kun je zelfs nog specificeren wat voor scripts je wel of niet zichtbaar wilt hebben. Handig aangezien je bepaalde scripts wel weer nodig hebt voor werking (van bv webwinkels) terwijl ik in beginsel alle overbodige scripts wil blocken.
uBlock bijvoorbeeld vind ik op zich een schitterend programma'tje maar kan in mijn ogen ook niet tippen aan NoScript.

By default, out of the box, uMatrix blocks all 3rd-party scripts, but allows 1st-party scripts to run on any web site -- it's just convenient for the majority of people.

Het schijnt dus wel mogelijk te zijn. Maar mij is niet bekend in hoeverre je dan de scripts individueel kunt blocken.
Daar zie ik bij uMatrix ook niets van terug, waar het bij NoScript gewoon meteen duidelijk is (in de blocklist).

[Tom]

Als je Chromium met Scriptsafe gebruikt, komt de gebruikerservaring m.i. in de buurt van Firefox met de oude NoScript. Daar is het eenvoudig mogelijk om "tijdelijk" scripts toe te staan. Hierbij worden niet alle scripts toegestaan. Het kan net als met NoScript apart voor elke op de achtergrond opgevraagde subsite plaatsvinden.

Een beetje knullig is overigens wel dat een klik op "tijdelijk" toestaan de button veranderd in doorgehaald. Dat is niet echt intuïtief want bij mij komt het over alsof "tijdelijk" toestaan werd uitgeschakeld i.p.v. ingeschakeld.

Als een add-on een meerwaarde wil hebben voor de doorsnee-gebruiker, moeten de opties eenvoudig aan/uit kunnen. Bij NoScript wacht ik nog even totdat de beschikbare opties vereenvoudigd zijn. Misschien is het vanwege de omvang van NoScript zinvol om een modus "doorsnee-gebruiker" en een modus "ervaren gebruiker" te maken. uBlock origin heeft dat ook.

Scriptsafe heb deze ook gebruikt en niet slecht ,maar hij stoort geweldig bij het inloggen bij G Mail althans hier dus heb hem weer verwijdert ik blijf bij Noscript suite lite.

[kfboerne]

@ partyrabbit : Je kunt uMatrix zodanig instellen dat het ook 1st-party scripts blokt. Hierbij een link naar de vernieuwde (Duitstalige) uMatrix FF57 tutorial.
Je moet dan ** block script gaan toevoegen. De auteur legt dat heel duidelijk uit. Voor de non-die-hard-gebruiker op dit vlak (waartoe ik mezelf reken) wordt het dan allemaal wel wat onwerkbaar. Maar als je echt zo ongeveer alles wilt blokken, dan kan dat dus wel :

https://www.youtube.com/watch?v=qv9lPM-5aA0

Alleen snap ik nog steeds weinig van dat anti-xss-filter. Dat zou volgens de ontwikkelaar van NoScript dus zo'n beetje het verschil met uMatrix maken?? Reacties van kenners zijn welkom 

[Tom]

Aangezien de herren hier onderling aan het discuteren zijn laat ik mijn bescheiden bijdrage maar zijn dan !.

[partyrabbit]

@ partyrabbit : Je kunt uMatrix zodanig instellen dat het ook 1st-party scripts blokt. Hierbij een link naar de vernieuwde (Duitstalige) uMatrix FF57 tutorial.
Je moet dan ** block script gaan toevoegen. De auteur legt dat heel duidelijk uit. Voor de non-die-hard-gebruiker op dit vlak (waartoe ik mezelf reken) wordt het dan allemaal wel wat onwerkbaar. Maar als je echt zo ongeveer alles wilt blokken, dan kan dat dus wel :

https://www.youtube.com/watch?v=qv9lPM-5aA0

Bedankt voor de aanvullende uitleg. En inderdaad is het mogelijk. Maar toch loop ik tegen twee punten aan.

Ten eerste is het een opt-in functie. Ik vond de opt-out van (de oude) noscript ideaal. Alles geblocked tot het vrijgegeven is.
Opt-in heeft als nadeel dat alles vrij is en je zelf moet zoeken wat geblocked moet worden waarbij je snel iets over het hoofd ziet. Bij opt-out zie je het nooit over het hoofd want dan merk je het meteen omdat een site deels niet werkt.

Het andere voordeel van (de oude) NoScript is dat hij selectief (deel-) scripts kan blokken en dat hij deze ook zelf herkent ongeacht op welke site het opduikt (de opt-out).
Als dit bij uMatrix al mogelijk is (mij nog niet helemaal duidelijk) is het in elk geval heel omslachtig (want opt-in) vergeleken bij NoScript.

Ach was die oude NoScript er maar nooit uit gegaan. Hopen dat de nieuwe snel weer werkt als de oude.

[partyrabbit]

Aangezien de herren hier onderling aan het discuteren zijn laat ik mijn bescheiden bijdrage maar zijn dan !.

Deze begrijp ik even niet. Wij zijn toch ook gewoon ontopic en inhoudelijk aan het reageren, vergelijkend zoekende naar opties en deze aan het beargumenteren?

Ik zag je reacties en nam ze tot mij. NoScript light is niet te vergelijken met NoScript en valt veel meer in de categorie uBlock en uMatrix.
De laatsten zijn vooral add-blockers met optie scripts blocken, daar waar NoScript een scriptblocker is en add-blocking ondergeschikt is. Een wezenlijk verschil. En dan werkt ook de nieuwe NoScript niet zoals de oude.
De reden dat ik bv niet rechtstreeks op NoScript light in ga, maar nog steeds gewoon een gewaardeerde reactie hoor Tom.

[kfboerne]

@Tom : ik denk dat partyrabbit het correct verwoordt. Ook ik waardeer jouw reactie zeker. Dat geldt overigens voor iedere reactie in welk ander topic dan ook.
Persoonlijk vind ik scriptblocking een behoorlijk pittig onderwerp omdat ik er gewoonweg (te) weinig van afweet. Mijn technische kennis is ontoereikend. NoScript Lite Suite kende ik niet eens  .
Daarentegen weet ik inmiddels wel dat het een zeer belangrijk onderwerp is. NoScript werd niet voor niets vaak uitgeroepen als DE addon... totdat de Quantum-versie dus kwam.

Momenteel is het zo dat er nog onvoldoende duidelijkheid is over het wel en wee van NoScript. Lees de reviews maar eens : https://addons.mozilla.org/en-US/firefox/addon/noscript/reviews/?src=api

Het zou mooi zijn wanneer de ontwikkelaars van NoScript en uMatrix meer in staat zouden zijn zich te verplaatsen in het brein van script-blocking-dummies (zoals moi  ) en daarop hun UI zouden afstemmen. Dat is waarschijnlijk ook een van de redenen waarom je in vrijwel alle NS-reviews ziet, dat men de oude UI terugwil. Die was simpel en duidelijk. Maar dat kwartje wil maar niet vallen bij de ontwikkelaar. Het beste had ie een keuzemogelijkheid gegeven : 'u kunt de oude UI blijven gebruiken, maar er is een nieuwe. De keuze is aan u'. Iets van dergelijke strekking.
Op Youtube kan ik bv ook (nog) geen NS-tutorial vinden betreffende de nieuwe UI. Zegt ook wel wat vind ik. Is de belangstelling zo enorm afgenomen na introductie van de nieuwe NS? Mogelijk...

Kortom, het is thans nog onduidelijk wat de einduitslag voor NS wordt. Vult uMatrix de gaten die NS laat vallen? Komt er een andere webex die zich kan meten met NS/uMatrix? En dan met een begrijpelijke(re) UI?

Een of andere vage, onbelangrijke huis-tuin- en keukenwebex kun je zo gedag zeggen. Dat geldt in mijn optiek niet voor NS en uMatrix. Scriptblocking is gewoon te belangrijk.




 


 

[nahjo]

NoScript: je moet er wel even aan wennen maar eenmaal in het snotje is het kinderlijk eenvoudig te bedienen. Wat mij betreft gaat de maker gewoon door met het verder ontwikkelen.

Voor mensen die iets meer in detail willen regelen kan ik ScriptSafe aanbevelen (zie ook reactie van Harz + gebruik ik zelf ook onder chromium) maar ik neem aan dat de FF versie gelijk is aan de chromium versie.

XSS scripting
Dat de maker van NoScript daarop wijst is het gevolg van dat in 2016 door een hacker is aangetoond hoe men met XSS de beveiliging van NoScript om zeep kon helpen. Daar is de programmeur dus lekker mee aan de slag gegaan om dat probleem te verhelpen.

@Tom,
die No script Lite is volgens mij bijna een jaar niet meer aangepast. Heb je daar nog wel vertrouwen in qua ontwikkeling etc.?

[partyrabbit]

@Tom : ik denk dat partyrabbit het correct verwoordt.

Nou. Ik denk ook dat ik vanuit mijn eigen perspectief op scriptblocking te snel over Lite heen gestapt ben en misschien had ik deze even tussen haakjes op uMatrix mee kunnen nemen waar hij m.i. bij hoort. Misschien was dat voor anderen (Tom) duidelijker geweest.

[grizzler]

Maar dat kwartje wil maar niet vallen bij de ontwikkelaar. Het beste had ie een keuzemogelijkheid gegeven : 'u kunt de oude UI blijven gebruiken, maar er is een nieuwe. De keuze is aan u'. Iets van dergelijke strekking.

Probleem is dat het kwartje moet vallen bij de gebruikers: Mozilla heeft een UI zoals de oude NoScript UI onmogelijk gemaakt. Dat oude formaat kán domweg niet meer. De code om zoiets te presenteren zit niet meer in Firefox.

Ik ben overigens helemaal overgestapt op uBlock Origin in medium mode. Op mijn systeem bleef NoScript vastlopen als ik de opties wilde bekijken en dat was ik op een gegeven moment zat. Geen idee of dat nu wel zou werken.

[HarzG]

Kijk maar naar de knoppen van NoScript in de versie 10.1.6.2. Volgens mij is Giorgio Maone al een goed end op weg met een vereenvoudiging van de GUI. Je kan dus eerst kijken of je de lijst van subsites OK acht en per subsite "tijdelijk toestaan", maar je kan ook met 1 klik alles op een site "tijdelijk toestaan". Ik ga nu maar weer met NoScript (+uBlock Origin) verder ...

Giorgio Maone heeft onze aandacht verdiend door zijn inspanningen om browsers veiliger te maken.

[partyrabbit]

Ik heb er niet aan gedacht om nog een update te proberen (al zou dat automatisch moeten gaan bij NoScript).

Maar ik heb op een andere pc NoScript gewoon door laten draaien. Daar is de nieuwere versie over de oude heen gegaan.
Het vreemde  is dat hij daar inderdaad niet meer blokt als voorheen. Daar waar voorheen NoScript tot tientallen scripts blockte en er nog geen handvol over liet voor uBlock, blocked nu NoScript daar nog een handjevol en moet uBlock nog een hele hoop blocken.

Dit is voor mij toch wel het teken dat NoScript niet meer blocked wat het voorheen blockte en in mijn ogen slechter geworden is. 

[HarzG]

Je kan verschillende script-blokkers gebruiken, maar je moet ze niet tegelijkertijd naast elkaar gebruiken.
Ik ga dus bijv. "JS TOTO" deactiveren en activeer NoScript. Ik zie dat er een heleboel scripts geblokkeerd worden omdat ik meestal in NoScript alleen "tijdelijk toestaan" heb gekozen.
NoScript neemt volgens mij de eerder vastgelegde voorkeuren over. Als "iemand" in het verleden veel sites op "toestaan" heeft gelabeld, dan worden er inderdaad scripts standaard voor deze sites toegestaan. Dat is een keuze van de gebruiker en geen "zwakte" van NoScript.