Quão perigoso JavaScript pode ser?

Question

Recentemente comecei a usar o NoScript (além do ABP). Demorou um pouco para se acostumar e pode ocasionalmente exigir alguns cliques ao visitar um novo site para investigar por que o site não está funcionando e de onde eu preciso permitir o JavaScript. A segurança extra vale a pena?

Algumas das controvérsias são discutidas aqui . Eu suponho que se resume a uma questão de saber se o JavaScript é uma ameaça real para o seu computador ou não. Alguma idéia sobre isso?

    

Answer 1

O motivo pelo qual o NoScript existe em primeiro lugar não é necessariamente JavaScript per se , mas falhas de segurança no navegador. No passado, o Firefox e outros navegadores tiveram muitas vulnerabilidades de segurança que permitiram que JavaScript mal-intencionado fizesse coisas ruins para o sistema de um usuário. (Em muitos casos, o código nativo pode ser executado através de JavaScript, o que significa que um site poderia fazer qualquer coisa em seu computador.) Existe também a possibilidade de cross-site scripting ataca, como @Eric disse.

No entanto, na minha experiência, essas ameaças não são realmente ameaças. Se você ficar atualizado e não visitar sites questionáveis regularmente, ficará bem. NoScript é, na minha opinião, mais uma dor do que qualquer outra coisa. Não acho que valha a pena desativar temporariamente 99,9% dos sites que você visita apenas para se proteger dos outros 0,1%. Se você realmente se preocupa, reavalie seus hábitos de navegação.

    

Answer 2

Veja link e link para exemplos de como alguém com intenção maliciosa pode causar problemas usando JavaScript.

FWIW - Eu pessoalmente não uso o NoScript porque acho que é uma grande dor de cabeça. Às vezes você só tem que ver onde você está navegando e esperar o melhor.

    

Answer 3

• JavaScript mal escrito ou mal-intencionado pode travar seu navegador ou congelá-lo

• O JavaScript pode ser usado para causar downloads drive-by

• Mas, usado corretamente e como pretendido, o JavaScript aprimora a experiência de navegação na Web

Existem prós e contras, mas no geral vale a pena. Para o registro, eu sempre uso a extensão NoScript, ativando seletivamente scripts para os sites que eu visito regularmente e espero que sejam seguros.

    

Answer 4

Embora tenha havido exploits tecnicamente no processamento de imagens e renderização de XML e afins, para todos os efeitos, existem atualmente três vetores de ataque: engenharia social (enganando o usuário, fazendo com que o usuário execute um arquivo malicioso), plugins (Flash) e JavaScript.

O JavaScript permite que instruções sejam executadas diretamente, e é particularmente ruim no caso do Internet Explorer, devido à decisão incrivelmente ruim e à implementação de controles ActiveX no passado (embora a Microsoft tenha melhorado nesse aspecto). Você também não precisa necessariamente visitar sites duvidosos, pois os anúncios são veiculados em JavaScript e há vários casos em que anúncios maliciosos foram veiculados em sites legítimos.

Resposta curta: se você vai se preocupar com ameaças, há três coisas para se preocupar: o Internet Explorer, o Flash e o JavaScript.

    

Answer 5

Poucos computadores, se algum computador conectado à Internet for à prova de exploração.  Nem sequer precisamos de MeltDown nem Spectre para obter publicidade maliciosa em sua máquina, ela veio de sites confiáveis como sempre.

Eis por que a epidemia de anúncios maliciosos cresceu muito pior no ano passado Redirecionamentos forçados de malware falso por push do grupo de zircônio e atualizações falsas do Flash. DAN GOODIN - 23/1/2018, 5:00

Nos anos 90, o Netscape Navigator assinou digitalmente o javaScript, precisamos de uma versão melhorada do que agora.