Benutzung:
Warnung: Beachte bei der Benutzung von Firefox, dass selbst vertrauenswürdige Websites jederzeit gehackt werden können. Selbst die Webauftritte von renommierten Sicherheitsunternehmen bzw. Sicherheitsexperten sind davor nicht gefeit.
(Siehe dazu z.B. auch hier!) Das bedeutet, dass auch bei Downloads von vertrauenswürdigen Websites Vorsicht geboten ist und dass auch schon allein das Ansurfen einer vertrauenswürdigen Website, die gehackt worden ist, über Browserexploits den Rechner des Surfenden infizieren könnte. Es gilt also, auch bei vertrauenswürdigen Websites die Browser-Sicherheitseinstellungen so restriktiv wie möglich zu konfigurieren - und möglichst selten Ausnahmen zu machen.
(Ferner sollte man Dateien aus dem Internet grundsätzlich immer mit Vorsicht behandeln.) 
Bei den Seiten, die man in
NoScript temporär (oder dauerhaft) auf die Erlaubnisliste setzt, werden bei der oben genannten Konfiguration JavaScript, Java und Inline-Frames (- sogenannte "IFrames"), sowie diverse Plugins
in einem Aufwasch erlaubt. (Man kann in
NoScript nicht festlegen, dass beispielsweise nur Java seitenspezifisch erlaubt wird, aber nicht etwa JavaScript oder Flash.)
(*)
- Das Freischalten einer Site bei NoScript geschieht per Rechtsklick auf das NoScript-Icon.
Alternativ dazu kann man im Firefox-Browser per Rechtsklick auf eine beliebige Stelle der aktuellen Website klicken.
- In dem sich daraufhin öffnenden Kontextmenü sollten, wenn überhaupt, zunächst nur Einträge mit kursiver Schrift erlaubt werden - und das auch nur bei Problemen auf einer Seite und natürlich nur bei vertrauenswürdigen Sites..
Die kursive Schrift bedeutet, dass der Eintrag nur temporär (bis zum Schließen des Web-Browsers) freigeschaltet wird, während die normale Schrift eine dauerhafte Freischaltung mit sich bringt. Daher sollten Einträge mit normaler Schrift nur in absoluten Ausnahmefällen freigeschaltet werden - und nur dann, wenn man sich sicher ist, dass die Seite überhaupt freigeschaltet werden muss und gefahrlos dauerhaft freigeschaltet werden kann!
- Man kann übrigens jede Erlaubnis - egal ob temporär oder dauerhaft - jederzeit wieder aufheben (- wobei eine temporäre Erlaubnis ja ohnehin automatisch beim Schließen des Browsers aufgehoben würde).
- Die eigentliche Web-Seite, auf der man gerade surft, ist mit fetter Schrift hervorgehoben.
Nicht-fett-geschriebene Webadressen sind die Adressen eingebundener Server.
- Die Webadresse jeder Website und jedes Servers ist in drei verschiedenen Formen angegeben:
Dem Domain-Namen (z.B. avira.com), dem Subdomain-Namen (z.B. forum.avira.com) und dem Subdomain-Namen zusammen mit Protokoll (z.B. http://forum.avira.com).
Beim Freigeben gibt man am Besten zunächst den Subdomain-Namen zusammen mit Protokoll (z.B. http://forum.avira.com) frei, da hier in dem Fall nur das Nötigste freigegeben wird.
Beim Beispiel http://forum.avira.com würde nur http://forum.avira.com, aber z.B. weder http://www.avira.com, noch z.B. ftp://forum.avira.com, freigegeben werden.
Wer eine etwas globalere Freigabe einrichten will, würde beim Beispiel http://forum.avira.com die Subdomain forum.avira.com (ohne Protokoll) erlauben und somit z.B. auch ftp://forum.avira.com freigeben, aber nicht http://www.avira.com.
Noch globaler wäre dann avira.com, bei dem nicht nur http://forum.avira.com, sondern z.B. auch ftp://www.avira.com freigeschaltet würde.
- Manchmal muss man auch weitere Server, die in eine Web-Seite eingebunden sind, ebenfalls erlauben. Doch das findet man schnell heraus.
Nach jeder Freigabe einer Adresse lädt sich die betreffende Seite mit der geänderten Einstellung neu, so dass man umgehend feststellen kann, ob die vorgenommene Freigabe erfolgreich war.
- Mit "Temporär alle Beschränkungen für diese Seite aufheben" kann man alle Komponenten einer Seite in einem Rutsch freigeben, was aber aus Sicherheitsgründen i.d.R. nicht zu empfehlen ist.
Mit "Temporäre Berechtigungen aufheben" kann man übrigens die temporär erteilten Berechtigungen jederzeit wieder freigeben.
- Wenn man mit dem Mauszeiger auf das rechts unten in Firefox befindliche NoScript-Symbol zeigt, ohne mit der Maus zu klicken, dann kann man sehen, wie viele Skripte und Objekte auf der aktuellen Seite geblockt werden.(*)
- Ein geblocktes Objekt einer Webseite kann man an einem Feld mit einem No-Script-Symbol erkennen.
Klickt man auf das NoScript-Feld eines geblockten Objektes, so kann man explizit dieses Objekt gezielt temporär freischalten.
Man kann geblockte Objekte aber auch per Rechtsklick auf das rechts unten in Firefox befindliche NoScript-Symbol und anschließendem Klick auf "Geblockte Objekte" gezielt temporär freischalten.
Dieses gezielte Freischalten eines Objekts ist grundsätzlich gegenüber dem Freischalten der gesamten Web-Site vorzuziehen.
- Server, die man aller Voraussicht nach auch in Zukunft nicht freischalten will, z.B. Tracking-Cookie-Server, kann man mit der Schaltfläche "Nicht vertrauenswürdig" ausblenden.
Über die selbe Schaltfläche "Nicht vertrauenswürdig" kann man jederzeit durch Klick auf "xyz temporär erlauben" ausgeblendete Seiten auch wieder einblenden. Die betreffende Site wird daraufhin temporär erlaubt und wieder eingeblendet.
Klickt man daraufhin auf "xyz verbieten", so ist die Freischaltung wieder aufgehoben, die Site ist aber dennoch wieder eingeblendet.
--> 
- Zum Testen von NoScript und für erste, eigene Experimente empfehle ich folgende Links:
Fußnoten
(*): Optional könnte man bei Bedarf auch
Firefox so konfigurieren, dass grundsätzlich bei geblockten Skripten/Objekten am unteren Rand des Browser-Fensters eine Informationsleiste eingeblendet wird, die darüber informiert, wieviele Skripte/Objekte auf der aktuellen Seite blockiert sind. Dazu müsste man in der Registerkarte "Benachrichtigungen" der
NoScript-Einstellungen ein Häkchen bei "
Informationsleiste anzeigen, wenn Skripte blockiert werden" setzen. Ggf. sollte man in dem Fall zusätzlich auch bei "
Nach 5 Sekunden ausblenden" den Haken entfernen oder zumindest den Wert von 5 Sekunden entsprechend des eigenen Bedürfnisses erhöhen.
-->
(*): Ich persönlich verwende in Firefox zusätzlich das Add-On
QuickJava, welches eine Art Schnellstartleiste für Java & JavaScript herzaubert - ähnlich den Schnelleinstellungen bei Opera.
Ich verwende "
QuickJava" zusätzlich zu
NoScript. Per default sind bei mir in
QuickJava sowohl JavaScript als auch Java deaktiviert. Bei Bedarf erlaube ich in
NoScript temporär die betreffende Site bzw. das betreffende Java-Objekt und schalte zusätzlich die gewünschte Funktion (JavaScript/Java) in
QuickJava frei, soweit erforderlich. Nach dem Surfen wird die betreffende Funktion von mir in der
QuickJava-Schnellstart-Leiste wieder deaktiviert.
Fazit: Das Add-On
QuickJava stellt eine gute und sinnvolle Ergänzung zu
NoScript dar, da JavaScript-Code bzw. die Java-Objekte einer Web-Seite nun trotz Erlaubnis der Website (bzw. des Java-Objekts) in
NoScript nicht mehr automatisch aktiv werden können, solange JavaScript bzw. Java in
QuickJava verboten sind. Somit stellt
QuickJava einen sinnvollen Beitrag zum Schutz vor Sicherheitslücken dar, die auf JavaScript/Java basieren.
Zusätzlich verwende ich in Firefox das Add-On
FlashBlock, welches Flash-Objekte blockiert, auch wenn eine Website bereits pauschal in
NoScript freigegeben worden ist. Das geblockte Flash-Objekt lässt sich leicht an einem Kreis mit einem f-Symbol erkennen. (Siehe dazu
diesen Screenshot!)
Durch Klick auf dieses f-Symbol lässt sich dann das Flash-Objekt temporär freigeben, wie man es auch beim Freigeben von Objekten in NoScript kennt.
Fazit: Das Add-On
FlashBlock stellt eine gute und sinnvolle Ergänzung zu
NoScript und
QuickJava dar, da die Flash-Elemente einer Web-Seite nun trotz Erlaubnis der Website in
NoScript nicht mehr automatisch aktiv werden können. Somit stellt
FlashBlock einen sinnvollen Beitrag zum Schutz vor Sicherheitslücken dar, die auf Flash basieren.
Diese Anleitung entstand unter Mitwirkung von Stefan Berka und der "Community-Mitglieder" Morgaine, Noy und Spaddel, denen ich hiermit meinen besonderen Dank für die zahlreichen Hinweise aussprechen will.
Sunday, May 26th 2013, 3:31am
