NoScript
NoScript (o NoScript Security Suite) es una extensión libre y de código abierto para Mozilla Firefox, SeaMonkey, Flock y navegadores web basados en Mozilla Firefox y Google Chrome.[1] NoScript bloquea la ejecución de JavaScript, Java, Flash, Silverlight, y otros complementos y contenidos de scripts. NoScript tiene un lista blanca para permitir la ejecución de guiones informáticos de ciertos sitios.[2] También ofrece contramedidas específicas contra los ataques de seguridad.
| NoScript | ||
|---|---|---|
| Información general | ||
| Tipo de programa | Extensiones de Mozilla | |
| Desarrollador | Giorgio Maone | |
| Licencia | GPLv2+ | |
| Idiomas | Multilingüe | |
| Información técnica | ||
| Programado en | CSS, JavaScript y XUL | |
| Plataformas admitidas | Mozilla Firefox | |
| Versiones | ||
| Última versión estable | 11.2.11 (info) 29 de julio de 2021 (30 días) | |
| Enlaces | ||
| Sitio web oficial Repositorio de código | ||
Características
Seguridad y uso
Después de la instalación en Firefox, es bloqueado por defecto el contenido ejecutable JavaScript, Java, Flash, Silverlight, y otros contenidos "activos", bajo la asunción que los sitios web maliciosos pueden usar estas tecnologías en formas maliciosas. El usuario puede permitir que el contenido activo pueda ser ejecutado en sitios web de confianza, dando un permiso explícito.[3]
NoScript toma la forma de un icono en la barra de herramientas o en la barra de estado del Firefox. Muestra cada sitio cuyo contenido está siendo bloqueado o permitido para la página actual que se está viendo, con opciones para permitir el contenido actualmente bloqueado o para prohibir el contenido actualmente permitido.
NoScript también provee defensas adicionales contra ataques en Internet tales como XSS, CSRF, Clickjacking, ataque Man-in-the-middle y DNS rebinding, con contramedidas específicas que trabajan independientemente del bloqueo de script.[4]
Emparejado de sitios y lista blanca
Los scripts (y otros elementos bloqueables) son permitidos o bloqueados basado en la fuente de donde el script es leído - que con frecuencia no es idéntica a la URL mostrada en el campo de la dirección de la página web. Esto es porque muchas páginas web leen elementos tales como iframes, hojas de estilo (stylesheets), scripts y reproductores embebidos desde sitios remotos. Cuando una página web incluye scripts y otros elementos bloqueables de muchas fuentes, el usuario puede especificar una política de bloqueo tanto para la dirección principal y como para cada una de las fuentes separadamente.
Una vez que cualquier fuente es marcada como confiable, NoScript la tratará como confiable incluso si es cargada indirectamente por páginas web o scripts originados desde otros dominios.
Para cada fuente, la dirección, el dominio, o el dominio padre exactos pueden ser especificados. Permitiendo un dominio (ej. mozilla.org), hace que todos sus subdominios sean permitidos implícitamente (ej. www.mozilla.org, addons.mozilla.org y así sucesivamente) con cada posible protocolo (ej. HTTP y HTTPS). Permitiendo una dirección (protocolo://host ej. https://www.mozilla.org), hace que sus subdirectorios sean permitidos (ej. https://www.mozilla.org/firefox y https://www.mozilla.org/thunderbird), pero no los parientes del dominio ni sus hermanos. Por lo tanto, mozilla.org y addons.mozilla.org no serán permitidos automáticamente.[5]
Lista negra de no confianza
Los sitios también se pueden poner en la lista negra de NoScript[6] (la lista negra contiene los sitios en que no se confía y en donde se bloqueará automáticamente el contenido de scripts, etc).
Protección Anti-XSS
El 11 de abril de 2007 fue lanzado al público el NoScript en su versión 1.1.4.7,[7] introduciendo una protección del lado del cliente contra el cross-site scripting (XSS) de tipo 0 y de tipo 1. Cuando un sitio web intenta inyectar código HTML o Javascript dentro de un sitio diferente, NoScript filtra la solicitud maliciosa, neutralizando su carga peligrosa.[8]
Premio
NoScript fue nombrado por PC World como uno de los 100 mejores productos de 2006, estando en el puesto #52.[9]
Referencias
- «NoScript Extension Officially Released for Google Chrome» (en inglés). ZDNet. 30 de abril de 2019.
- NoScript What is it? NoScript.net, Accessed April 22, 2008
- NoScript Features-Usable security NoScript.net, Accessed April 22, 2008
- Giorgio Maone (1 de agosto de 2010). «al_9x Was Right, My Router is Safe». Hackademix.net. Consultado el 2 de agosto de 2010.
- NoScript Features-Site matching NoScript.net, Accessed April 22, 2008
- NoScript Features-Untrusted blacklist NoScript.net, Accessed April 22, 2008
- NoScript's first Anti-XSS release Mozilla Add-ons
- NoScript Features-Anti-XSS protection NoScript.net, Accessed April 22, 2008
- pcworld.com, Accessed April 22, 2008
Enlaces externos
- Página web oficial
- Repositorio oficial en GitHub
- NoScript en addons.mozilla.org