Nei siti Web si utilizzano, molto spesso, degli script per permettere la visione di filmati, la condivisione sui social o per rendere cliccabile il pulsante che da il via al download di qualche contenuto, questi sono script diciamo “buoni”, il problema è che ci possono essere tra di loro degli script “cattivi”, come quello indicato nell’immagine, che redirigono il browser verso altre pagine o avviano il download automatico di malware e tante altre cose potenzialmente poco piacevoli. [continua..]
La prima volta che installai No Script anni fa durò meno di un giorno, tutte quelle richieste mi irritavano.
In seguito ho installato l'estensione più volte su Firefox, ma non è mai durato più di un anno o a causa di aggiornamenti bacati, a causa di conflitti vuoi anche perché nel frattempo alcune pagine che visitavo avevano cambiato qualcosa (come l'accesso via web a servizi di posta) o quanto da te riscontrato.
Avevo trovato anche delle soluzioni alternative ma per me non valevano granchè.
Anche adesso mi ritrovo con Emsisoft Browser Security, AdGuard, Netcraft e un altro paio di estensioni per la sicurezza e privacy (tra cui un gestore di password indipendente dal browser).
Naturalmente non sono in grado di riconoscere uno script al volo, con Firefox visito più o meno sempre gli stessi siti, mentre Chrome e Opera li uso solo per visitare siti malevoli per segnalarli e farli bloccare dai maggiori browser almeno, ma solo quando isolati con sandboxie.
Certo non mi illudo che anche con privilegi di amministratore limitati e sandboxie qualora contraessi un fileless malware, di quelli che si infiltrano nella RAM e dopo aver creato il danno al riavvio spariscono, di passarla liscia, va anche detto che dovrei essere particolarmente sfortunato.
Visto che la maggior parte di queste funzioni non è più disponibile, sono passato a uMatrix dello stesso creatore di e da utilizzare insieme a uBlock Origin; la configurazione di questo componente aggiuntivo è però ancora più estenuante di quella di NoScript!
"Let me tell you a secret: when you hear that the machine is “smart”, what it actually means is that it’s exploitable." Mikko Hypponen
Chrome e Firefox forniscono già di default una protezione contro gli script malevoli: in particolare Firefox 70 il blocco contenuti è stato ridefinito in protezione antitracciamento avanzata e i cookie traccianti di terze parti e gli script di cryptomining vengono bloccati per impostazione predefinita; ma agendo sulle impostazioni si possono anche bloccare gli script di fingerprinting e i cookie di terze parti in blocco; gli elenchi sono basati sulle liste di Disconnect.
Aggiungo che sia in FF che in Chrome adesso si può attivare il DoH, acronimo che sta per DNS over HTTPS: in pratica le richieste del browser ai server DNS, precedentemente in chiaro, vengono ora criptate; in Firefox il provider predefinito in questa modalità è Cloudfare, ma se ne possono impostare anche altri (in ogni caso, per ottimizzare questa funzione, oltre ad accedere alla scheda Impostazioni di rete da Opzioni-Generale e abilitare il DNS over HTTPS occorre accedere ad about:config e modificare manualmente qualche parametro).
Inoltre estensioni come Ublock Origin o Adguard, Privacy Badger sviluppato dalla EFF, Emsisoft Browser Security, Netcraft e CSS Exfil Protection (io le utilizzo tutte senza rallentamenti) aggiungono un ulteriore livello di sicurezza nella navigazione.
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
Completo l'informazione: la lista dei server DNS disponibili per il DoH è qui, gli URL sono quelli da impostare nella voce "network.trr.uri" su about:config (nel caso su Firefox si scelga di lasciare Cloudfare predefinito, è già preimpostato al momento della spunta su Attiva DNS over HTTPS da Opzioni-Generale-Impostazioni di connessione-Impostazioni; Chrome invece ha scelto di non impostare server DNS predefiniti). Su Firefox inoltre sempre su about:config con Cloudfare occorre modificare la stringa "network.security.esni.enabled" da "false" a "true" con un doppio clic in modo da abilitare la protezione Encrypted SNI che cripta totalmente le connessioni del client su TLS, ed è consigliato impostare 2 come valore della stringa "network.trr.mode" per potersi connettere in modo tradizionale in caso la cifratura DoH non sia disponibile; Cloudfare e altri provider DNS adottano le specifiche DNSSEC contro il phishing e sull'autenticità dei siti visitati; Adguard DNS include l'adblocker della stessa casa a livello di DNS, cioè senza installare nemmeno l'estensione nel browser, e consente come altri provider di scegliere che livello di blocco impostare e se attivare anche il blocco di contenuti per adulti semplicemente modificando l'URL di base su "network.trr.uri" da about:config
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
Inserendo un messaggio, dichiari di aver letto e accettato il regolamento di partecipazione.
Nello specifico, sei consapevole che ti stai assumendo personalmente la totale responsabilità delle tue affermazioni, anche in sede civile e/o penale,
manlevando i gestori di questo sito da ogni coinvolgimento e/o pretesa di rivalsa.
Dichiari inoltre di essere consapevole che il messaggio sarà visibile pubblicamente, accetti di diffonderlo con licenza
CC BY-NC-SA 3.0 (con attribuzione a "TurboLab.it") e rinunci ad ogni forma di compensazione (economica o altro).
Rinunci inoltre esplicitamente a qualsiasi pretesa di cancellazione del messaggio.