Noscript Security Suite (NSS) เป็นเครื่องมือ fantastic มาก มันมาเป็น extension สำห Firefox และ Chromium-based browsers ต่างๆ และสิ่งที่มันทำคือ transform useless, noisy "modern" Internet กลายเป็น pool of tranquility และมันทำได้โดยการ block scripts และ elements อื่นๆ บน Web pages Beautiful, elegant คุณสุดท้ายได้ fast, quiet experience ไม่มี nagging ไม่มี overhead เมื่อคุณต้องการ scripting คุณ enable เฉพาะเจาะจง Works great แต่ก็ต่อเมื่อคุณเป็น techie
เสียดายสำห common folks AKA not nerds นี่ไม่ใช่ solution พวกเขาไม่สามารถ bothered กับ per-site permissions การ figure out ว่าสิ่งใด broken เมื่อ scripts ไม่รัน หรือคล้ายๆ กัน แต่แล้ว ถ้าคุณอยากมี flexibility ของ non-restricted browsing แต่ยังใช้ some of the great powers ของ Noscript? ผมคิดว่าผมอาจมี formula ตามมาผม
Allow all but
ปกติ Noscript เป็น default-deny tool คุณ whitelist เฉพาะ domains ที่คุณเชื่อถือ - และแม้แต่ per-session temporarily Great แต่คุณต้องการ rigor และ discipline Going default-allow ไม่ใช่ right solution เช่นกัน เพราะแล้วคุณไม่ได้ต้องการ Noscript จริงๆ แต่นี่คือที่ที่ extension นี้ส่องแสง
Default with scripting
ตามที่ผม outline ในสอง guides ของผมเกี่ยวกับ Noscript มี three levels of permissions - default, trusted และ untrusted ตัวแรก block scripts แต่ allow some other Web elements (เช่น images, media, etc) Trusted mandate scripting และ (optionally) allow everything else Untrusted block everything Trusted + Untrusted ทำงานดีร่วมกัน - แม้คุณ temporarily allow all (trust) บนหน้า untrusted domains จะยังคง blocked คุณจึงได้ protection และ convenience บางส่วน เราสามารถ tweak principles นี้สำห ordinary folks!
ตั้งค่า default zone ให้ allow several common required elements สำห everyday browsing ปกติรวมถึง script, object, media, และ frame Elements อื่นๆ เป็น optional จริงๆ ใน a nutshell การใช้งานสรุปได้ดังนี้:
- WebGL - หากคุณไม่อยาก allow WebGL คุณจะไม่มี hardware-accelerated 2D/3D graphics ในเบราว์เซอร์ และจะพึ่งพา software rendering เท่านั้น Downside คือ reduced battery life บนอุปกรณ์แบตเตอรี่ และ somewhat slower page rendering ในบางกรณี Upside คือคุณจะไม่ exposed ถึง bugs หรือ issues ใน hardware graphics stack ใน most cases การใช้ WebGL okay
- Fonts - นี่คือ hot one และผมพูดถึงมันอย่างยาวในอดีต Remote fonts อาจเป็นปัญหา และเป็น great source of security drama บน net ผมไม่ชอบ remote fonts หลายเหตุผล เพราะ websites ควรเป็น complete solutions และ loading random stuff จาก third-party sources คือ just lazy มี security และ privacy implications ด้วย แต่ - once again - Noscript ให้ superb solution Blocking fonts อาจทำให้ pages "uglier" แต่แล้วคุณก็ได้เห็นว่า modern Internet จริงๆ แล้ว fragile และ badly designed อย่างไร So there
- Fetch - Basically นี่ใช้สำห handling requests คุณควร allow เพื่อให้แน่ใจว่า sites respond "correctly" รวมถึง redirects, errors และอื่นๆ
- Ping - นี่คือสิ่งที่ไม่มี value ให้ end users แค่ server Ping attribute specifies list of URLs to be notified if user follows hyperlink กล่าวคือใน "modern" words นี่อาจเป็น yet another vector สำห useless pointless tracking ดังนั้นคุณไม่ต้อง enable
- Noscript - เมื่อ scripts disabled content wrapped in noscript elements ใน HTML page source จะถูกแสดง เนื่องจากเรา allow scripts นี่ไม่ควร matter ยังไงก็ไม่แย่ที่จะ allow
- Other - Everything else ที่ pages อาจมี Why not Okay-ish
ด้วย configuration นี้ คนสามารถ browse websites ด้วย seemingly no interruptions ทุกอย่างควรทำงาน by default และคุณไม่ควรเจอ cardinal problems แต่แล้วยังมีอะไรเพิ่มเติมที่เราสามารถทำได้ - และ Noscript สามารถทำให้เราได้
XSS และ Untrusted domains
Another nice advantage ของ Noscript คือมัน protects against cross-site scripting attacks คำอธิบายทางเทคนิคว่าอะไรคือเรื่องยาว แต่ in essence แม้คุณ allows scripts (main reason ทำไมควรใช้ Noscript) คุณยังได้ benefit จาก capabilities อื่นๆ ของมัน คุณจึง covered there
จากนั้น หากคุณ untrust certain domains ในขณะที่ default zone ของคุณ quite liberal และ open คุณยังสามารถกำจัด annoying sites ได้ โดยเฉพาะเมื่อเป็น third-party domains ใช้สำห advertisement หรือ tracking บน site ใดๆ คุณสามารถขยาย Noscript icon menu แล้วตั้งค่า relevant permissions สำหแต่ละ domain คุณยังสามารถใช้ Custom option ได้
ตัวอย่างเช่น คุณอาจต้องการ block all fonts แต่ allow เฉพาะบน set of pages ที่เฉพาะเจาะจง ใน note เดียวกัน คุณอาจต้องการ remove specific domains เพื่อให้ Web activity ของคุณไม่ถูก tracked และ associated across multiple domains ได้ง่าย Browsers พยายามแก้ปัญหานี้ด้วย enhanced/strict browsing protection reducing หรือ removing third-party cookies แต่คุณสามารถใช้ Noscript ทำให้ solution even more robust คุณยังสามารถ combine กับ adblocking ได้ ดังนั้นแม้คุณ miss หรือ forget certain domains ใน list adblocking extension จะ sanitize Web pages ให้คุณเมื่อ scripts ของพวกมันโหลด
Does it work?
Yes quite well ผมใช้ Noscript และ uBlock Origin side by side มาพักใหญ่ๆ จริงๆ ผม test all different permutations - nothing, one or the other, both side by side, different browser settings As it unsurprisingly turns out most optimal combination คือ Noscript + UBO เพราะ latter ก็มี ability to block และ sanitize all sorts of annoying features บน Web pages สิ่งเดียวที่ noticeable - third-party fonts not being loaded Good
With scripting disabled คุณจะไม่เห็น search box หรือ cookie overlay - แต่ที่นี่พวกมันแสดง
อย่างไรก็ตาม คุณสามารถเปลี่ยน state ของ domain และ reload page ได้ตลอดเวลา และคุณยังสามารถ configure Custom zone - disable fonts สำห vast majority of pages แต่ allow สำห small select number of domains ที่คุณชอบ AND ไม่ใช่ส่วนหนึ่งของ Trusted zone วิธีนี้คุณไม่ต้อง compromise on other settings และ protections เพื่อ allow one element สำห specific pages
หากคุณทำเช่นนี้ คุณจะพบ few other cool things เช่น:
- คุณจะเห็นว่า sites โหลด useless stuff มากแค่ไหนนอกจาก "core" content
- คุณจะเห็นว่า sites หลายแห่งดู像 dog vomit หากคุณ disable some of their third-party content (เช่น fonts)
- คุณจะสังเกต speed boost - แม้กับ scripts enabled - เพราะ lots of useless stuff won't load
ในการรวมกับ adblocking คุณจะ save bandwidth, reduce noise และ improve browsing performance Win win win!
สรุป
ดังนั้น คุณจะ setup Noscript สำห ordinary folks อย่างไร? คุณสร้าง instance ของคุณเอง tweak - แล้ว export settings เมื่อคุณช่วยคนอื่น config browser คุณสามารถ import settings แนวคิดพื้นฐานคือ allow scripts และ a few other elements ใน Default zone ซึ่ง solves 99% of all problems with Noscript + non-techies คุณสามารถ optionally make setup even more elegant ด้วยการสร้าง trusted, untrusted และ custom lists ของคุณเอง
Is this foolproof? Of course not No technology is ในระหว่าง broken-and-confusing Web experience ที่ Noscript purposefully creates as part of cleansing mission และ veteran nerds ที่รู้ exactly what they're doing ยังเป็นไปได้ที่จะทำให้ extension นี้ useful สำห common users การทดสอบของผม limited แต่ผมเชื่อ configuration ที่ outlined ข้างต้น works well provides extra security improves privacy และ does not break the surfing Have a go throw this at your unsuspecting relatives และ share your findings We're done
Cheers
