GLF

[Jean Valjean]

Ich hab mir gerade das neue TBB heruntergeladen und musste feststellen, dass die Option JavaScript ausschalten verschwunden ist. Nun wollte ich eigentlich von beiden Programmen einen Screenshot machen, musste jedoch zu meinem Erschrecken feststellen, dass die Option im herkömmlichen Firefox ebenso verschwunden ist

[Luna]

Was ist denn ein TBB?

[Unvisible]

tor Browser bundle ..

Hm .. Keine möglichkeit JS manuell auszumachen? Das wäre bedenklich .. Ausser es ist standardmässig implementiert.. Aber wer garantiert das?

[Tropi]

Was ist denn ein TBB?

Lass dir nichts erzählen. TBB ist das Autokennzeichen von Tauberbischofsheim.

[Ovid]

Dafür gibt es doch NoScript?! Jetzt überlagern sich diese Einstellungen halt nicht mehr.

Wer es trotzdem ganz ausschalten möchte: "about:config" in die Adressleiste und dann "javascript.enabled" auf false.

[Jean Valjean]

Die Begründung, welche Mozilla bzgl. der Entfernung der Optionen liefert sind einfach schwachsinnig....

http://www.experto.de/b2b/computer/sich ... ieren.html

Anscheinend bestand die Änderung schon seit Oktober und mir soll sie nie aufgefallen sein??

Egal, ich benutz weiterhin den alten Tor Browser. Dann kann ich mir auch die Neuinstallation der Addons sparen.

[Ovid]

Hast du eig. meinen Beitrag überlesen? o_O

[Jean Valjean]

Nein, hab ich nicht. Es gibt Situationen, in welchen ich JavaScript immer noch für kurze Zeit aktiviere (wenn eine bestimmte Webseite dies erfordert). Ein Häkchen anzuklicken ist nunmal einfacher als in about:config zu wühlen. Ausserdem würd ich mich gern noch versichern, dass nicht noch jemand anders seine Finger im Spiel hat.

In dubio pro paranoiae.

[Ovid]

Wenn du eine Tab "about:config" auflässt, brauchst du weniger Klicks als extra ins Menü zu gehen.
Ansonsten: NoScript ist standardmäßig im TBB dabei und damit regelt sich das noch schneller.

Ausserdem würd ich mich gern noch versichern, dass nicht noch jemand anders seine Finger im Spiel hat.
.

Eine JavaScript-Verschwörung? o_O

Es ist immer wieder lustig. Jetzt wo die letzte ausgenutzte Lücke zufällig Javascript war, heult jeder deswegen rum.

Wenn demnächst dann irgendeine Lücke in HTML5, SVGLib, CSS oder was auch immer ausgenutzt wird, dann verlagert sich die Angst wieder darauf...

[Jean Valjean]

Die JS Lücke ist uralt, kam schon vermehrt zum Einsatz und wird es auch weiterhin. Die FH-Sache war lediglich die medienwirksamste. Und wie soll HTML oder CSS eine Sicherheitslücke enthalten??? Sind ja bloss Designersprachen.

[Ovid]

Die JS Lücke ist uralt, kam schon vermehrt zum Einsatz und wird es auch weiterhin.
Die FH-Sache war lediglich die medienwirksamste.

Eben. Die Lücke ist uralt und wurde längst gefixt... längst. Als sie bei FH zum Einsatz kam, wurde sie ja sogar schon gefixt. Es waren nur Leute mit alten Browser-Versionen betroffen.

JS auszustellen ist ja ganz vernünftig zur Abwehr von XSS-Attacken z.B..

Aber beim alten Tor-Browser-Bundle zu bleiben, nur, weil man diesen "komfortablen" Menü-Punkt haben will?
Wie macht das denn Sinn? Das alte Bundle ist nun deprecated... und je länger man wartet, desto wahrscheinlicher wird es, dass darin auch Lücken gefunden werden... und dann hast du möglicherweise das selbe Szenario wie bei FH. Die Lücke ist längst gefixt, nur nicht im alten Browser.

Naja. Deine Entscheidung.

Und wie soll HTML oder CSS eine Sicherheitslücke enthalten??? Sind ja bloss Designersprachen.

Ja genauso wie beim JS-Interpreter. Wenn der HTML, CSS oder SVG Parser ne Lücke hat...
Das hat nichts mit dem Sprachentyp zu tun.

CSS bei IE:
http://www.cve.mitre.org/cgi-bin/cvenam ... -2010-3971

CSS bei FireFox:
http://www.cve.mitre.org/cgi-bin/cvenam ... -2010-2752

So etwas kann jeden Komponente des Browsers treffen. Ja, sogar den HTML-Parser bei FF:
http://cve.mitre.org/cgi-bin/cvename.cg ... -2009-1571

[Lavinia Halbritter]

Eine JavaScript-Verschwörung? o_O

Mozilla wird zu 90% von Google bezahlt. Ohne JavaScript geht das meiste Zeug von Google nicht.

[Ovid]

Ich sehe das große Problem nicht. Der Haken wurde weggemacht, weil es viele Endkunden einfach verwirrt. Wer "about:config" nicht bedienen kann, wird auch nicht verstehen wozu JS gut ist und in welchen Szenarien es eine Sicherheitsgefahr darstellt. Bestenfalls macht er sich seine Lieblingsseiten kaputt und gibt dem Browser die Schuld... und wechselt dann zu einem anderen Browser (und natürlich würde man das nicht wollen).
Alle möglichen großen Webseiten nutzen JS, nicht nur google.

Ich finde es so genau richtig. Das Finetuning fasst man zusammen in einem config-Tab, die sehr allgemeinen Einstellungen kommen in das Hauptmenü.

Wo es wirklich Quatsch mit Soße wird, ist, wenn man dann noch vermutet man wolle die User möglichst unsicher surfen lassen und hat deshalb diese Einstellung vom Menü entfernt. So habe ich Lolitas Bro jedenfalls verstanden.

[YoungLover]

Was ist denn so schlimm daran? Über "about:config" ist es doch genau so leicht und wenn man manchmal JavaScript trotzdem gemütlich nutzen will, kann man doch einfach die NoScript Funktion verwenden, nicht? Ich halte es für keine gute Idee, auf alte Versionen umzusteigen.

(Die neue Version gefällt mir sehr, muss ich sagen )

[Lolimat]

Ich kann jedem NoScript sehr empfehlen. Es ist zwar am Anfang etwas unübersichtlich, doch die grundlegenden Funktionen sollten sich einem dann doch recht bald erschließen. (Man muss ja nicht den Anspruch haben jede Funktion voll zu durchschauen).
Beim Tor-Browser muss man darauf achten, dass man in den Einstellungen unter Allgemein "Scripte allgemein erlauben" abhakt. Dann ist JS aus auch wenn es in about:config oder dem alten Haken in den Einstellungen noch an sein sollte. Auf dem Reiter "Eingebettete Objekte" kann man dann noch Plugins, Iframes (dann funktioniert auch die o.g. JS-Sicherheitslücke bei Lolita's-Bro's altem Torbrowser nicht mehr so gut) und das Nachladen von Schriften verbieten.

Beim normalen Surfen im Alltag ohne Tor benutze ich NoScript auch. Sollte ich auf einer vertrauenswürdigen Seite JS vermissen, erlaube ich es eben für diese bestimmte Seite. Als schönen Effekt habe ich dadurch kaum Tracking von Werbe-Servern und diesen ganzen Käse. Also ich finde es gut.