NoScript

NoScript es una extensión libre y de fuente abierta para Mozilla Firefox, SeaMonkey, Flock y navegadores web basados en Mozilla. NoScript bloquea la ejecución de Javascript, Java, Flash, Silverlight, y otros plugins y contenidos de scripts. Noscript tiene un lista blanca (whitelist) para permitir la ejecución de scripts de ciertos sitios.^[1]

Características

Seguridad y uso

Después de la instalación, en el Firefox es bloqueado por defecto el contenido ejecutable Javascript, Java, Flash, Silverlight, y otros contenidos "activos", bajo la asunción que los sitios web maliciosos pueden usar estas tecnologías en formas maliciosas. El usuario puede permitir que el contenido activo pueda ser ejecutado en sitios web de confianza, dando un permiso explícito.^[2]

NoScript toma la forma de un icono en la barra de herramientas o en la barra de estado del Firefox. Muestra cada sitio cuyo contenido está siendo bloqueado o permitido para la página actual que se está viendo, con opciones para permitir el contenido actualmente bloqueado o para prohibir el contenido actualmente permitido.

NoScript también provee defensas adicionales contra ataques en Internet tales como XSS, CSRF, Clickjacking, ataque Man-in-the-middle y DNS rebinding, con contramedidas específicas que trabajan independientemente del bloqueo de script.^[3]

Emparejado de sitios y lista blanca

Los scripts (y otros elementos bloqueables) son permitidos o bloqueados basado en la fuente de donde el script es leído - que con frecuencia no es idéntica a la URL mostrada en el campo de la dirección de la página web. Esto es porque muchas páginas web leen elementos tales como iframes, hojas de estilo (stylesheets), scripts y reproductores embebidos desde sitios remotos. Cuando un página web incluye scripts y otros elementos bloqueables de muchas fuentes, el usuario puede especificar una política de bloqueo tanto para la dirección principal y como para cada una de las fuentes separadamente.

Una vez que cualquier fuente es marcada como confiable, NoScript la tratará como confiable incluso si es cargada indirectamente por páginas web o scripts originados desde otros dominios.

Para cada fuente, la dirección, el dominio, o el dominio padre exactos pueden ser especificados. Permitiendo un dominio (ej. mozilla.org), hace que todos sus subdominios sean permitidos implícitamente (ej. www.mozilla.org, addons.mozilla.org y así sucesivamente) con cada posible protocolo (ej. HTTP y HTTPS). Permitiendo una dirección (protocolo://host ej. http://www.mozilla.org), hace que sus subdirectorios sean permitidos (ej. http://www.mozilla.org/firefox y http://www.mozilla.org/thunderbird), pero no los parientes del dominio ni sus hermanos. Por lo tanto, mozilla.org y addons.mozilla.org no serán permitidos automáticamente.^[4]

Lista negra de no confianza

Los sitios también se pueden poner en la lista negra de NoScript^[5] (la lista negra contiene los sitios en que no se confía y en donde se bloqueará automáticamente el contenido de scripts, etc).

Protección Anti-XSS

El 11 de abril de 2007 fue lanzado al público el NoScript en su versión 1.1.4.7,^[6] introduciendo una protección del lado del cliente contra el cross-site scripting (XSS) de tipo 0 y de tipo 1. Cuando un sitio web intenta inyectar código HTML o Javascript dentro de un sitio diferente, NoScript filtra la solicitud maliciosa, neutralizando su carga peligrosa.^[7]

Premio

NoScript fue nombrado por PC World como uno de los 100 mejores productos de 2006.^[8]

Referencias

Enlaces externos

• Sitio web de NoScript
• NoScript en addons.mozilla.org