Quid de XSS WARNING ?

[oGu]

Bonjour!

 

Ayant toujours trouvé l'extension de sécurité pour Firefox, NoScript, particulièrement pénible à configurer, je me suis posé la question de lui trouver un remplaçant moins "dur" dans ses capacités de blocage et de protection -et donc, plus souple à utiliser et à régler.

 

j'ai trouvé cette extension, XSS WARNING, dont Korben signale sur son blog qu'elle "filtre les valeurs "étranges" dans les URL afin d'empêcher des attaques par Cross Site Scripting (XSS).

 

Si vous avez javascript d'activé, vous êtes en effet vulnérables à des attaques du genre (merci wikipedia):

 

* Affichage d'un contenu non interne au site (publicité, faux article)

* Redirection (parfois de manière transparente) de l'utilisateur.

* Vol d'informations, par exemple sessions et cookies.

* Actions sur le site faillible, à l'insu de la victime et sous son identité (envois de messages, suppression de données, etc.)

* Plantage de la page (boucle infinie d'alerts par exemple), et souvent du navigateur."

 

En bref, du NoScrip en light, non??

 

 

J'aurais aimé avoir votre point de vue sur cette extension, si vous l'utilisez , comment elle réagit, si elle est efficace, en bref si elle correspond à mes désirs, à savoir du NoScript en plus cool !!!

 

Merci à vous!

 

ogu

 

Edit: désolé d'avoir posté au mauvais endroit et merci au modo d'avoir déplacé mon topic!

Modifié le 7 décembre 2007 par ogu

[LoGiC]

salut ogu

 

pas de réponses a t'apporter mais je "up" ton post car cela m'interesse aussi !

 

@+

[Falkra]

Bonjour, le XSS, c'est du cross scripting, des attaques depuis sites distants pour faire afficher du code malicieux sur des sites sains. (et t'infecter ou s'occuper du site).

 

http://fr.wikipedia.org/wiki/Cross_site_scripting

http://noscript.net/features#xss

 

NosCript corrige beaucoup de choses dans ce module, qui avait donné des faux positifs avec les modules google intégrés à des sites utilisant adsense, mais sans volonté malveillante. Tu âs dû voir qu'il y a eu pas mal de mises à jour de noscript, elles allaient dans le sens de corrections sur ce module dernièrement.

 

L'extension est très bien, elle crée une liste blanche pour activer javascript et le désactive partout ailleurs. Cela protgèe d'une quantité innombrable de saletés et de sites piégés, qui ne seront pas autorisés puisque l'utilisateur n'en aura pas fait la démarche. En cas de redirection sauvage sur une page piégée ou une popup infectée, le javascript malicieux ne sera pas activé...

La configuration de la liste blanche pour les sites sains nécesitant javascript se fait en quelques clics.

 

Un excellent complément sécuritaire à Firefox.

[cyrilcvcf]

Bonjour,

 

NoScript est quand même simple d'utilisation ! Il suffit de cliquer pour dire oui ou non ! Ensuite le plug-in se débrouille tout seul !

 

Quid de la difficulté alors ?!

 

Amicalement.

[oGu]

Bonjour,

 

NoScript est quand même simple d'utilisation ! Il suffit de cliquer pour dire oui ou non ! Ensuite le plug-in se débrouille tout seul !

 

Quid de la difficulté alors ?!

 

Amicalement.

 

Ce n'est pas la difficulté qui me gêne, mais le fait qu'à chaque nouveau site visité, il faille régler NoScript. Par ailleurs ma chère et tendre, qui utilise aussi l'ordi, goute peu les difficultés sur PC...

 

Au fait Falkra, tu as testé XSS Warning, ou tu parles uniquement de NoScript dans ton post??

[cyrilcvcf]

Par ailleurs ma chère et tendre, qui utilise aussi l'ordi, goute peu les difficultés sur PC...

 

Dans ce cas, on est 2 ! Effectivement, là dessus no script n'est pas cool, de là a se retrouver en tout autorisé, il n'y a qu'un pas que nos moitiés risquent de franchir allègrement.

[oGu]

de là a se retrouver en tout autorisé

 

T'as tout compris!!

 

Déjà que j'ai réussi à lui imposer un pare-feu à règles et un HIPS qui lui jettent tout deux des pop-ups à la figure...

[cyrilcvcf]

Perso, je ne connais pas d'alternative à No Script ! Comme dis Falkra, il corrige beaucoup de chose ce plug-in.

 

Amicalement.

[Falkra]

Bonsoir,

 

Ogu, j'évoquais les avertissements XSS affichées par Noscript.

[oGu]

Petit up'...

 

Je l'ai installé quelques jours, mais je n'ai pas pu constater son efficacité vu que l'extension ne m'a proposé aucune alerte, au contraire de NoScript qui en envoie plusieurs par site nouvellement visité.

 

D'autres ont-ils tenté l'expérience??