Beiträge von Cosmo

Du zeigst in deiner Argumentation selber auf, daß die Seite als Verursacher ausscheidet. Wenn du jetzt konkreter beschrieben hättest, wie das mit der Fomatierung gemeint war und welche Einstellungen und FW / Antispyware-Programme du mit welchem Ergebnis geprüft hattest, könnte man mehr damit anfangen. Hattest du den Cache auch einmal geleert und die Seite anschließend neu geladen?

MBAM ...

Zitat von weiwi

habe ich heute schon gemacht. er hat nichts gefunden!!!

Quickscan / Fullscan ?

Prüfe diese Einstellungen.

Ich frage mich allerdings, wie Einstellungen wie dort beschrieben, fehlerhaft sein sollen, wenn ich hier lese:

Zitat von escherha

... nach kompletter Formatierung ...

Wenn die Formatierung der Festplatte damit gemeint sein sollte und anschließend FF im komplett neuen System installiert worden sein sollte, so sind fehlerhafte Einstellungen kaum nicht vorstellbar, es sei denn, sie würden von Hand vorgenommen.

Die schlechteste Nachricht zuerst:

XP SP2 ist ein Betriebssystem, daß - wie von ME schon kurz angerissen - seit 1 Vierteljahr nicht mehr unterstützt wird. Zum heutigen Zeitpunkt bedeutet daß auf diesem zig Sicherheitslücken (im mittleren Bereich, bezogen auf die seit Juli veröffentlichten Patches) existieren, einige davon werden intensiv ausgenutzt. Da SP3 seit über 2 Jahren von Windows-Update angeboten wird ist die Wahrscheinlichkeit sehr hoch, daß die Zahl der vorhandenen Lücken bei weitem höher ist - im 3-stelligen Bereich. Konsequenz: Der Status des System ist unbestimmbar und das Investieren von viel Arbeit darin sinnlos (zumindest IMHO und für meinen Teil).

Der Status muß zunächst auf den aktuellen Stand gebracht werden und versucht werden, das System umfassend analysiert werden. Dazu sollten HijackThis (Link unten) und Malwarebytes verwendet werden.

Die Beschreibung gibt Rätsel auf, ob Norton AV (keine eigene FW enthalten) oder Norton Internet Security (Norton Firewall enthalten) verwendet wird. Kläre das auf, welches Norton Programm genau ist installiert? Wie ME bereits schieb: Es darf immer nur 1 FW im System vorhanden sein. Nicht nur, daß Norton FW sehr wohl blockieren kann, 2 oder mehr FWs bringen die Netzwerkfunktionalität in einen nicht bestimmbaren Zustand.

Die Proxy-Einstellungen der beiden Browser sind unterschiedlich. Das Ändern in FF auf System-Proxy (an genannter Stelle) könnte helfen (ohne den beschriebenen System-Zustand zu ändern).

Auch wenn es voraussichtlich nicht mit dem Problem zusammenhängen dürfte: Was ist mit "dem ActiveX Steuerelement" gemeint? Es gibt nicht nur eins. Was genau ist gemeint, was wurde genau geändert und welche Chronik ist in dem genannten Zusammenhang gemeint gewesen?

Nichts dagegen einzuwenden, daß Avast installiert ist.

Wenn der Benutzer allerdings im Brustton der Überzeugung erklärt, gar keine Sicherheitssoftware installiert zu haben (nicht gut, wenn es so wäre), dann komme ich ernsthaft ins Grübeln.

Dürfen wir aus dem letzten Satz die Schlußfolgerung ziehen, daß mit dem IE8 keine Fehler auftreten?

Öffne die FF-Einstellungen -> erweitert -> Netzwerk -> Einstellungen: Was ist eingestellt?
Gegenprobe: Internet Optionen -> Verbindungen -> LAN-Einstellungen oder Einstellungen für Wählverbindungen (je nachdem was konfiguriert ist): Was ist für Proxyserver eingestellt?

Welches Betriebssystem (inklusive Service Packs), welche Sicherheitssoftware (nicht nur, aber insbesondere Firewall)?

Was ist "vor einigen Tagen" geändert worden?

gernsch1951,
du hast in den > 50 Jahren mit Sicherheit die Erfahrung "keine Antwort ist auch eine Antwort" selber schon gemacht. Insofern ist mangels anders lautender Information davon auszugehen, daß dein System seit dem Befall vor 1 Vierteljahr nicht runderneuert (Neu-Installation nach Formatieren der Festplatte) worden ist. Sollte es anders sein, so wäre es besser gewesen, das mitzuteilen, statt einem Helfer die Brocken an den Kopf zu werfen. Fox2Fox hat völlig Recht, Support für ein - nach der von dir zur Verfügung gestellten Informationslage - kompromittiertes System ist sinnlos, weil dessen Ist-Zustand nicht definierbar ist.

Ob dein System in Ordnung ist hängt essential von deiner Vorgehensweise im Juli ab. Warum du daraus einen solchen Bo-hei machst und jemanden angreifst, der dir helfen will und mit tödlicher Sicherheit für die damals festgestellte Kompromittierung nicht verantwortlich ist, ist mir unerfindlich - es zeigt mir einmal mehr, daß 60 Jahre nichts besagen, wenn dabei nicht Lebenserfahrungen gemacht und umgesetzt werden. Mein Hund ist da weiter - er beißt mich auch dann nicht, wenn ich ihm - aus medizinischen Gründen leider notwendig - täglich einmal seine Tabletten tief in den Rachen stecken muß, was er nun wirklich nicht lustig findet; meine Hand hat nicht einmal einen leichten Ritzer auf der Haut. Er guckt mich jeden Tag mit seinen großen Augen an als ob er sagen wollte "Ich weiß, daß du es nur gut mir meinst, aber können wir nicht darauf verzichten." Und ich tue ihm diese Qual weiter jeden Tag an, gerade weil ich ihn liebe und ihm helfen will, ein gutes Leben zu führen.

Wenn du es vorziehst, an deinem Verstand zu zweifeln (dein O-Ton), dann soll es so sein. Doch für solche Probleme ist das Forum nicht vorgesehen.

Also: Wurde das System seit Juli nach Festplatten-Formatierung neu aufgesetzt oder nicht? Wenn nein: Gehe zurück zu Start. Wenn ja, stelle einen aktuellen Scan-Log zur Verfügung.

Auch ich verwende keine dort keine Ordner außer den vordefinierten. Was hier geht: Den Ordner in der Leiste anklicken, Maustaste gedrückt halten und dann verschieben. So funktioniert es hier.

So langsam gehen die Optionen aus. Hier ist noch eine: Erstelle ein neues Windows-Konto (mit eingeschränkten Rechten), beim ersten FF-Start wird automatisch ein neues Konto angelegt. Teste dort.

Ich unterstelle nichts, ich beobachte :mrgreen: ,ob ich will oder nicht. Dafür keinen Dank.

Es wurde dir nun wirklich oft genug gesagt, daß Full-Quotes einfach nur dumm sind. Jetzt diese Dummheit auch noch durch Verdopplung unübersehbar zu machen blieb wohl dir vorbehalten. :x (Unbeschadet des WinDum(p)-Inhaltes, denn wer will schon eine Kaskade von Screenshots, wenn er alles in einem haben kann.)

Es freut mich, daß die Diskussion tatsächlich ein produktives Ergebnis gehabt und dazu beigetragen hat, ein Mißverständnis auszuräumen.

Noch mehr freut es mich, daß diese Diskussion - knallhart in der Sache geführt - ohne die viel zu häufig anzutreffenden Verbalinjurien ausgekommen ist. Da ich das oft genug anderes erlebt habe bedanke ich mich hiermit bei allen Beteiligten.

Wäre das Mißverständnis richtig gewesen, daß NS dazu dient, Sicherheitslücken im FF auszubügeln, ja, dann hätte ich NS mit ganz anderen Augen betrachtet - und möglicherweise den FF ebenfalls, wenn der so etwas braucht. Früher stand auf der NoScript-Seite ganz groß "Your friendly Web-Cop" (heute finde ich das nicht mehr); es stand dort nicht "FireFox-Cop". Und diese Feinheit trifft es.

Und folgende Aussage ist ebenfalls interessant, sie stammt von Window Snyder, seinerzeit Sicherheitschefin bei Mozilla: Bezüglich der internen Diskussion bei Mozilla, die Funktionalität von NoScript im Kern-Browser zu integrieren, sagte sie: "I'd love to see it in there." ("Das würde ich gerne darin enthalten sehen.") Dem schließe ich mich an, entschieden.

Zitat von pcinfarkt

Nicht dagegen, dass mit NoScript den Mozillen- Usern eine Extension an die Hand gegeben wird.
Das diese jedoch immer wieder mit der Begrifflichkeit "Sicherheit" in Verbindung gebracht wird, finde ich persönlich als äußerlich bedenklich!

Der security-Tag ist von AMO gesetzt worden. Worunter sonst: Download, Lesezeichen oder gar Einkaufen? Streitet man die Sicherheitsfunktion von NS ab, oder streitet man die Sicherheits-Relevanz aktiver Inhalte (in diesem Fall JS) ab, so wird man das als bedenklich bezeichnen müssen. Dieses Abstreiten ist aber mitnichten ein Beleg für das Fehlen der Sicherheits-Relevanz und der Sicherheitsfunktion.

Als Nachtrag zum vorangehenden:
Für den, der noch etwas aktuelleren Lesestoff - einschließlich Code-Beispielen - benötigt: Ein Skript zu einer Vorlesung von Prof. Pommering (habilitierter Diplom-Mathematiker) an der Uni Mainz und ein sehr technischer Auszug aus einem Buch zum Thema. - Wem das immer noch zu wenig aktuell ist, der lese diesen Beitrag aus der PC-Welt vom vergangenen Dezember. Vom August dieses Jahres stammt dieser Artikel über die Kompromittierbarkeit von Routern, und vom 30. September, gerade mal 14 Tage alt, ist diese Meldung des BSI über einen aktuellen Javascript-Angriff Krimineller. Nirgendwo darin geht es um die Frage einer eventuell bekannten Lücke einer veralteten JS-Engine / Browser-Version.

Unbestritten, daß die Programmierer sich bemühen, den JS-Interpreter so sicher wie möglich zu implementieren, aber ebenso völlig unbestreitbar ist es, daß der "Erfindungsreichtum" der Angreifer täglich bemüht ist, vorhandene Barrieren zu umgehen (wenn sie sich nicht durchbrechen lassen); und die Zeiten, wie es sich nur um ein paar wirre Skript-Kiddies gehandelt hat sind lange vorbei, heute sind es wohl organisierte, hochgradig kriminelle, professionell agierende Organisationen, die zu Werke gehen. Das ist - um auf den erhobenen Vorwurf zurück zu kommen - kein Horrorszenario, sondern harte Realität. (2 Belegstellen, die nur als Beispiel dienen: hier und hier)

Wenn wir hier über Javascript und NoScript schreiben, dann schreiben wir offensichtlich nicht über FF-Lücken im Allgemeinen. Aber bitte, dann noch einmal explizit: NoScript kann keine Sicherheitslücken [1] schließen, die nicht mit Javascript zu tun haben, es kann auch keinen Kaffee kochen. Ich hätte das auch nicht erwartet, der Autor hat das nie versprochen, auch nicht suggeriert, und ich kann mir wirklich nicht vorstellen, daß ein Mensch mit gesundem Menschenverstand das vermuten würde.

Tatsächlich geschrieben hatte ich dagegen - und du hast es sogar in das Zitat eingeschlossen - daß NS kein Ersatz für das schnellstmögliche Aktualisieren des Browsers (ergänzend: oder was auch immer an sicherheitsrelevanter Software) ist. Genausowenig wie ein aktueller FF kein Ersatz für zügige Aktualisierung von OS und Plugins darstellt (wobei ich nicht selten den Eindruck habe, da es User gibt, die das glauben, wenn sie nämlich stolz verkünden, den aktuellsten FF zu haben, man aber beim tieferen Bohren erfährt, daß es ansonsten vor Sicherheitslücken nur so hagelt).

[1] Auch nicht völlig richtig, denn NS deckt ja auch andere Angriffsvektoren (noch einmal zur Verdeutlichung: nicht alle, aber etliche) ab, die teilweise auch Plugins betreffen. Aber wie gesagt: der Thread ging über Scripte (siehe Titel), nicht über alle NS-relevanten Aspekte.

Profile verwalten

Zitat von gammaburst

Doch, einen solchen Weg gibt es, über Einträge in die Datei user.js, allerdings kaum für Laien.

Zugestanden, die Einschränkung hast du ja gleich dazu geschrieben. Und ein Argument von Dr. Evil und bugcatcher ist ja eben die Bedienbarkeit. Ich denke, daß die Schlußfolgerung, daß wer - angeblich oder tatsächlich - unfähig sein soll, NS zu bedienen, für diese Lösung gleich gar nicht geeignet ist, nicht aus der Luft gegriffen ist.

Zitat von gammaburst

Zum XSS-Schutz gibt es auch eine Reihe von expliziten Erweiterungen.

Auch akzeptiert (aber auch nie das Gegenteil behauptet, denn die Aussage in meinen ersten obigen Zitat war ja klar eingeleitet mit "das simple JS"). Ich sehe allerdings kein Argument, warum nicht NS diesen Schutz mit übernehmen soll, das ja gleichzeitig auch etliche weitere Angriffsvektoren abdeckt. Abgesehen, daß mir bei den Alternativen vielfach abwechselnd ein "nicht geeignet für FF 3.6.10 (das ist für mich die Referenz) oder nicht bewertet entgegen leuchtet. Zweifelsfrei gehört NS zu den am besten gepflegten Erweiterungen (was denn einige Benutzer wiederum als "Komfortmangel" kritisieren).

Zitat von Dr. Evil

Wo bleibt denn dein Beweis, dass JavaScript in aktuellen Firefox-Versionen eine Sicherheitslücke darstellt?

Ich hatte dargestellt, daß die Methode Javascript (oder allgemeiner: aktive Inhalte) ein Sicherheitsrisiko darstellt. Ich hatte ferner darauf hingewiesen, daß die Frage nach der aktuellen Software-Version in diesem Zusammenhang banal ist; und du willst dich doch nicht auf Banalitäten konzentrieren?

Zitat von Dr. Evil

Lies dir die Seite nochhmal durch: die Risiken die da stehen sind allgemeine Sicherheitslücken ...

Genau: allgemeine! Nur im ersten respektiven Absatz auf Sicherheitslücken im Interpreter bezogen, aber keineswegs darauf beschränkt. Unter anderem wird ein Codebeispiel genannt; sollte ich dich jetzt so verstanden haben, daß dieser Code nur in einem fehlerhaften Interpreter funktionier? Der Text des BSI gibt das nicht her.

Zitat von Dr. Evil

Das ist nicht "die FU Berlin", sondern die sogenannte "Userpage" von einer Person, die dort wohl arbeitet oder studiert.

Und die Seite ist von 2004. Da wurde der IE jahrelang nicht weiterentwickelt wurde und hatte Sicherheitslücken, die Microsoft nicht beheben wollte. Das hat hat wenig mit FIrefox (oder der heutigen Situation des IE) zu tun.

Die FU Berlin ist der Seitenbetreiber. Und beschrieben wurde dort Javscript, nicht eingeschränkt auf die MS-Umsetzung dieser Technologie. Und ich sehe nicht, daß die generelle Funktionalität von JS heute eine völlig andere wäre. Bei Nicht-Gefallen ist aber ein Leichtes, andere Seiten zu dem Thema zu ergoogeln.

Zitat von Dr. Evil

Stimmt. Dafür gibt es aber wesentlich einfachere Lösungen, wie z.B. YesScript.

Zitat des Yes-Script-Autors:

Zitat

Unlike NoScript, YesScript does absolutely nothing to improve your security.

Für mitlesende Nicht-Anglisten: "Im Unterschied zu NoScript tut YesScript absolut nichts zur Verbesserung der Sicherheit" - was impliziert, daß NS das tut (auch wenn der YS-Autor sich dazu bekennt, die vom FF allein stammende Sicherheit für ausreichend zu halten). - Und das soll einfach sein, daß der Benutzer die zu blockierenden Adressen erst einzeln eintragen soll? Nun ja, wer was für wie einfach hält, darüber kann man ja unterschiedlicher Meinung sein. Wenn du das so siehst, werde ich dir nicht widersprechen, dann mach mal schön. Meine Vorstellung über Einfachheit sieht anders aus (das ist jedoch egal bei einer Erweiterung, die laut Anbieter sowieso mit Sicherheit nichts am Hut hat und bei der ich mich folglich frage, wozu sie eigentlich gut sein soll).

Zitat von Dr. Evil

Jemand, der sich nicht mit der Materie auskennt und auf eine Empfehlung NoScript installiert, der ist nicht automatisch sicherer dran, als davor. Aber er hat jetzt einen Placebo und denkt, niemand könnte ihn mehr hacken.

Dann lag es womöglich an der Empfehlung. Wer sich NS installiert, weil er sensibilisiert worden ist, hat die Chance, seine Sicherheit zu verbessern. Wer auf "Empfehlung" NS nicht installiert, macht weiter wie bisher in dem Bewußtsein, daß ein Wissender ihm doch erzählt hat, es könne ja nichts passieren - bis dann doch etwas passiert.

Zitat von Dr. Evil

Aber NoScript ist für Laien nicht bedienbar!

Doch, es ist bedienbar, wie einfach das geht, hatte ich beschrieben. Das Gehirn dabei zu benutzen hat nichts mit der Einfachheit der Bedienung zu tun. Menschen, die ihr Gehirn notorisch ausschalten, sind in der Tat nicht die Ansprechpartner für Sicherheitslösungen; da gebe ich mich keiner Illusion hin. Menschen, die danach fragen - und so ist dieser Thread doch wohl zustande gekommen - haben ihr Gehirn offensichtlich benutzt. Und ich hatte klar und deutlich geschrieben: JS ja, wenn es wirklich unbedingt benötigt wird und man dem Anbieter tatsächlich traut. Kennt man ihn nicht, beantwortet sich die Frage nach dem Vertrauen automatisch, da braucht es nicht einmal einen außerordentlichen IQ. Sprich: Das können auch Laien bedienen; die einzige Frage ist die, ob sie das auch wollen. Wer nach NS fragt, erweckt in mir (ich beanspruche nicht, daß du das genauso bewertest) jedenfalls den Eindruck, daß er das will. Eine Bewertung wie die deine halte ich mit Verlaub deswegen als kontraproduktiv.

Zitat von Dr. Evil

... keinen 100%-Schutz bieten ...

100% Schutz gibt es nicht, ich denke, das sollte unstrittig sein. Aber alles unter 100% mit 0% gleichzusetzen stellt die simpelste Mathematik auf den Kopf. Immerhin hast du mit keiner Silbe diese Risiken als nicht-vorhanden abgetan, damit stündest du auch ziemlich einsam da.

Nachtrag:
Du hattest in dem vorhergehenden Beitrag geschrieben:

Zitat von Dr. Evil

(Und bei einer veralteten Version hilft auch das deaktivieren normalerweise nichts.)

wobei sich die "veraltete Version" aus dem Kontext erkennbar auf den FF bezog.

Wie kommst du eigentlich zu dieser Behauptung? NS blockiert den Code, er kommt also gar nicht im Interpreter an, folglich kann der (einen alten, fehlerbehafteten angenommen) auch nichts damit machen - noch nicht einmal etwas falsches. Genau das Gegenteil dessen, was du schreibst ist somit richtig. Und damit das nicht in die falsche Kehle gelangt: Nein, ich bin ganz und gar nicht der Meinung, daß NS das zügige Aktualisieren des Browsers ersetzt, im Gegenteil. Aber wenn eine Sicherheitslücke bekannt geworden ist, das Update aber noch nicht zur Verfügung steht, bietet gerade NS die Möglichkeit, sich davor zu schützen. (Zugegeben: Man könnte JS auch in dieser Zeit in den FF-Optionen abschalten, aber gerade die Dummies, von denen hier immer wieder die Rede war, werden das nicht tun - sofern sie sich überhaupt über die Existenz einer nicht geschlossenen Lücke im JS-Interpreter informiert haben, was nahezu durchgängig verneint werden muß.)

Zitat von bugcatcher

Komfort war im Sinne von "Seite geht nicht wie erwartet", bei dem vielen Laien einfach das nötige Fachwissen fehlt, einzuschätzen, warum etwas nicht geht.

Viel mehr Seiten, als allgemein kolportiert wird, gehen ohne JS. Aber in der völlig falschen Behauptung, es sei unkomfortabel, werden auch administrative Konten zum Arbeiten verwendet; die Behauptung erfolgt nahezu ausschließlich von Leuten, die sich für eingeschränkte Konten zu erhaben fühlen und keine Erfahrung damit haben. Also, wenn das Geschrei wegen angeblichen Komforts ein Kriterium darstellen sollte, so werfe man alle - aber wirklich alle - Sicherheitsfunktionen über Bord, denn keine Sicherheits-Software und -Konfiguration dient vom Design her der Steigerung des Komforts! Für mich ist das kein Argument, solange man sich nicht mit den Bedingungen im Einzelnen auseinandersetzt. Und ich finde auch keine überzeugende Argumentation dazu, was schlimmes und unkomfortables es sein soll, auf den fett gedruckten Menüeintrag von NS zu klicken (einmal davon abgesehen, daß die Verwendung des von der Natur mitgegebenen Gehirns für mich keine Option, sondern Bedingung menschlichen Agierens ist; Gehirn-Abschalten, weil es komfortabler ist: darauf lasse ich mich nicht ein, ob ich damit allein stehen sollte (so ganz allein ziemlich offensichtlich nicht) oder nicht).

Zitat von bugcatcher

warum ein Laie nicht einschätzen kann, ob ein Seite gefährlich ist oder nicht.

Wer brain.exe durch nobrain.exe ersetzt, ist für mich kein Argument für irgend etwas. Wer keinerlei Motivation erkennen läßt, sich mit dem Thema auseinander zu setzen, wird auch niemals klüger werden (sich aber irgendwann womöglich ganz ausgeschlossen finden, siehe meine Anmerkung im vorhergehenden grundlegenden Beitrag von mir). Dummheit der Anwender, die Dummheit zu konservieren, wird freilich den Status quo konservieren; zumindest solange, bis die Virenschleudern (JS-Dauerbenutzer haben ja typischerweise, wie ebenfalls bereits angerissen, noch ganz andere Sicherheitslücken - "gepflegt" durch vorgeblichen Komfort, besser ausgedrückt: Ignoranz - an Bord) zwangsweise vom Netz getrennt werden (und meine Befürchtung: unter diesem Vorwand auch andere Leute gleich mit).

Zitat von bugcatcher

Auf eine konsequente Einstellung ala "die Seite funktioniert ohne Javascript nicht, also bin ich lieber vorsichtig und meide die Seite" wirst du keine finden.

Deine Vermutung und Sichtweise, aber kein Beleg und schon gar kein Argument dafür, es weiterhin und wie die Lemminge einfach in der Masse mitmarschierend mitzumachen.

Zitat von bugcatcher

Horrorszenarios

Welche?

Zitat von bugcatcher

Natürlich kann man auch hier die ZeroDay-Keule auspacken, aber selbst dann ist ein Konto mit eingeschränkten Rechten eine Hürde die nicht mit Javascript zu nehmen ist.

Darf ich das so verstehen, daß du es für erfolgversprechender - aus der Sicht der Akzeptanz - ansiehst, Benutzer von der Verwendung eingeschränkter Konten zu überzeugen als von dem Klick auf einen gut erkennbaren Menüeintrag? Natürlich: Denken muß dabei schon eingeschaltet werden ("Brauche ich das wirklich, traue ich dem Anbieter tatsächlich?"), aber der penetrante Nicht-Denker wird sich von der Verwendung eines eingeschränkten Kontos noch viel schwerer überzeugen lassen - und der Aufwand zur Umstellung ist ungleich höher. Im übrigen ist Sicherheit ein Konzept, ähnlich einer Kette gehören alle Glieder dazu.

Zitat von bugcatcher

Wenn jemand mit Adminrechten, veralteten Plugins und ungepatchtem Betriebssystem arbeitet, dem hilft es im Übrigen auch nicht mehr, Javascript abzuschalten.

Das wirst du bei mir auch nicht gelesen haben, daß ich das vertrete. Und ich bin so frei und behaupte, daß du mich so weit kennst, daß du meine Einstellung und meine ständige Ermahnung, die genannten Lücken nicht entstehen zu lassen oder zu schließen, kennst. Das Abschalten von JS ist in der Tat - und da sind wir völlig einer Meinung - kein Ersatz für die grundlegende Sicherung und Härtung des Systems; ich gehe sogar so weit zu sagen, daß auf einem System mit Adminrechten und fehlenden kritischen Updates die Verwendung von JS auch keinen Unterschied mehr macht - da ist sowieso schon alles zu spät. Aber in diesem Thread geht es nun mal um Javascript; das dessen generelle Freigabe mit Sicherheitsmängeln in den anderen genannten Aspekten häufig einhergeht, hatte ich in einer Randbemerkung gleichwohl gemacht.

Zitat von bugcatcher

Es zur Speerspitze der Unsicherheit zu erheben ist daher mehr als Absurd und alles andere als eine "qualifizierte Beratung" für einen Laien.

Du magst zitieren, welche meiner Aussagen du derart mißverstanden hast.

Zitat von bugcatcher

Die Anzahl der Downloads ist übrigens keinerlei Belegt für die Sinnhaftigkeit einer Erweiterung.

Wahrscheinlich noch so eine falsche Interpretation. Ich hatte die Zahlen nicht einmal im Ansatz als Argumentation für irgend etwas verwendet, sondern es als tröstlich (das geschah in Replik auf die Beiträge, auf die ich mich bezogen hatte) bezeichnet, daß es sich so verhält. Elvis ist tot und die Zeiten, als Colonel Parker (sein Manager) verkündete "Millionen Fans können sich nicht irren" liegen 50 Jahre zurück. Aber hohe Zahlen (Plattenverkauf oder Downloads) sind auch kein Beleg, daß die Leute auf falsche Botschaften herein gefallen wären. Elvis' Musik war trotz Col. Parker gut und wenn man hohe Downloads allein bereits für verdächtig halten sollte, dann müßte man den FF zu den schlimmsten Stücken an Software erklären, die jemals geschrieben worden sind.

Zitat von bugcatcher

Cross-Site-Scripting ist tatsächlich das einzige bei dem der Nutzer unter Umständen Risiken erfährt. Hierbei wird er aber nur Opfer wenn er grundlegende Regeln im Netz ignoriert. Auch hier ist weniger Javascript als ein Fehlverhalten des Nutzers Ursache des Risikos. Und NoScript schützt genau so wenig wie ein Virenscanner vor Fehlern durch Unwissenheit. Nur wenn man sich mit der Thematik befasst, kann man Noscript vernünftig nutzen. Was allerdings auch dazu führt, dass man Noscript nicht mehr benötigt.

Ach nein? Welchen Schutz gegen XSS-Attacken bietet der FF den ohne NS? Und wieso und auf welche Art und Weise sollen, die Benutzer, denen du die angeborene Unfähigkeit zur Benutzung von NS attestierst, plötzlich in der Lage sein, sich dagegen zu schützen?

Doch selbst auf das simple JS - um darauf zurück zu kommen - widerspreche ich deiner Einschätzung: Vielleicht weißt du einen praktikablen Weg, der sich mir bislang nicht erschlossen hat, ohne NS gegebenenfalls von einer Top-Level-Domäne JS zuzulassen, ohne daß JS von jeder Feld- und Wiesen-Second-Level-Domäne ebenfalls ausgeführt wird. Nach meiner Recherche ist das mit dem nackten Fuchs unmöglich mit der logischen Konsequenz, daß das Wissen allein auch erfahrener Benutzer nicht hilft.

Hallo mädchen,

schön, wenn ich dich doch noch einmal nachdenklich machen konnte.

Es gibt für die Taskleiste insgesamt 3 Symbole (die Beschriftung sollte deutlich erkennen lassen, welches das Haupt-Symbol ist). Das Hauptsymbol für die Taskleiste entspricht von seiner Funktion dem standardmäßig in der Statusleiste befindlichen Symbol. Und das funktioniert generell so:

Sobald du darauf klickst (in den letzten Versionen reicht ein darauf zeigen), erscheint eine Liste mit den Adressen, von denen Scripts blockiert werden. Die Hauptseite, die du gerade besuchst, ist fett gedruckt. Weitere Seiten (nicht immer, aber häufig Werbe-Adressen) normal. Jede Adresse erscheint (sofern bislang blockiert) doppelt: Einmal besteht die Möglichkeit, die Adresse dort freizugeben, das erstellt automatisch eine Regel, so daß in der Zukunft diese Seite immer JS ausführen darf. Ein weiterer Menüeintrag erlaubt die temporäre Freigabe, die spätestens beim Schließen des FF wieder entfernt wird. Wenn man einer Seite wirklich vertraut und die JS-Freigabe auch regelmäßig benötigt wird ist die permanente Freigabe sinnvoll, weil man sich später nicht mehr darum zu kümmern braucht.

Das Hauptsymbol für die Taskleiste hat noch eine weitere Funktionalität: Mit einem einfachen Klick wird JS für die besuchte Seite temporär freigegeben (ohne sich mit den Menüeinträgen beschäftigen zu müssen), ein weiterer Klick darauf entfernt diese temporäre Freigabe wieder. Dasselbe kann man mit einer Tastenkombination umschalten. Standardmäßig ist die mit Strg-Umschalt-\ belegt, was jedoch mit deutschen Tastaturen nicht funktioniert. Ändern läßt sich das, wenn du in der Adresszeile des Browsers about:config eingibst und dann in der Filterzeile eintippst noscript.keys.toggle und dann den Wert änderst (dort wird stehen: ctrl shift VK_BACK_SLASH.|, eine sinnvolle Alternative, die mit deutscher Tastaturbelegung funktioniert ist ctrl shift VK_BACK_SPACE.| und bedeutet die Tastenkombination Strg-Umschalt-Rückschrittaste (die oben rechts in der Reihe mit den Zifferntaste im Haupttastenfeld.) Da sich das Symbol jedesmal ändert ist der aktuelle Status mit einem Blick sichtbar.

Ich hoffe, das hilft dir weiter.

Sorry, hatte ich übersehen. (Da so etwas aber auch anderen leicht passieren kann und auf Grund der Marktanteile Windows nun mal der Regelfall darstellt - das kann man bedauern, aber ad hoc nicht ändern -, ist es immer eine gute Idee, bei Nicht-Windows-OS dieses im Threadtitel mit anzugeben. Das erspart solche "Irrläufer".)