Firefox

[Kilroy]

Voor wie het nog niet is opgevallen, in de latere versies van Firefox is het niet meer mogelijk om in instellingen java of javascript uit te schakelen en die staan nu altijd aan.
Firefox is tenslotte een zeer veel gebruikte en stabiele browser.
Firefox heeft daarom besloten dit op een andere manier op te lossen en wel door het noscript ding te ontwerpen.
Dat moet je extra downloaden en installeren, maar het is wel wat ingewikkeld geworden door de vele mogelijkheden en instellingen.
Je kunt er wel veel dingen mee blocken en zelfs een blacklist maken van websites die altijd geblocked moeten worden en je kunt ook per website blocken.
Maar het blijft een tamelijk ingewikkeld ding.

Javascript is in principe voor geen enkele serieuze website vereist.
Men vindt wel dat het een makkelijke toegangspoort is voor kwaadwillige lieden en het feit dat Firefox zoveel tijd en energie in noscript heeft gestoken spreekt voor zich.
Maar ook bij andere browsers zoals bv Opera is java en javascript uit te schakelen.
Javascript is dus wel een makkelijke manier voor websites om dingen te doen waar je niet om gevraagd hebt.
Mensen die veel surfen zullen wel eens websites tegenkomen die niet weg te klikken zijn maar noscript maakt er korte metten mee.
Javascript heeft echter niets te maken met java wat alleen voor bepaalde programma's nodig is.
Als je dus niet veel surft zal javascript wel aan kunnen blijven staan, maar pers? nodig is het niet en blijft het dus een persoonlijke keuze, tenzij je toch teveel troep tegenkomt.

Grtz.

 

[Black Tiger]

Beste Kilroy.

Je bent Java en Javascript behoorlijk door elkaar aan het gooien.

in de latere versies van Firefox is het niet meer mogelijk om in instellingen java of javascript uit te schakelen

Met Javascript heb je niets te maken dat is in elke browser actief. In latere versies van Firefox krijg je echter Java niet meer zomaar geinstalleerd.

Javascript is in principe voor geen enkele serieuze website vereist.

FOUT! Er is een groot verschil tussen Java en Javascript. En Javascript heb je voor een goede werking zowat voor elke website nodig tegenwoordig.
Java is voor de meeste websites niet meer nodig, wel voor bepaalde spelletjes sites en sommige andere sites, die kunnen echter best serieus zijn, dus de uitspraak dat het voor geen enkele serieuze website vereist is, klopt niet helemaal.
Het is wel zo dat het verstandiger is niet meer in Java te programmeren.

Maar ook bij andere browsers zoals bv Opera is java en javascript uit te schakelen.

Dat is wel te doen maar vaak omslachtig bij moderne browsers en ook niet aan te raden. Firefox heeft het net als andere browsers dan ook standaard aan staan.

Java is gemakkelijk uit te schakelen, dat is een kwestie van gewoon Java de-installeren zoals je ook andere software deinstalleren kunt via de betreffende optie in het configuratiescherm.

Als je dus niet veel surft zal javascript wel aan kunnen blijven staan, maar pers? nodig is het niet en blijft het dus een persoonlijke keuze, tenzij je toch teveel troep tegenkomt.

Dat is dus Java. Als je javascript gaat uitschakelen zul je heel veel functionaliteit gaan missen. Je hebt de 2 echt met elkaar verward.

Tip: Een posttitel als "Java en Javascript" zou misschien wat geschikter zijn eigenlijk, want beiden hebben niets met Firefox te maken.

 

[Kilroy]

Maar BT dat heb ik al in eerdere postings o.a. eentje van het eendenteam gezegd dat java en javascript niets met mekaar te maken hebben en dus ook altijd geweten.

In de meeste browsers staat java en javascript na installeren aan.
Maar het is makkelijk via instellingen uit te schakelen zoals bv in Opera en daar is niets moeilijks aan.
Bij mij werken alle serieuze websites ook zonder javascript.
Minder serieuze websites hebben soms javascript nodig en je zult dan ook de melding krijgen dat javascript aan moet staan.

Dat javascript een probleem kan zijn blijkt wel uit het feit dat Firefox het zeer uitgebreide noscript heeft gemaakt.
Je kunt in elk geval er een aantal ongewenste pop-ups mee binnenkrijgen en andere ongewenste zaken, maar het noscript blockt die effectief.
Ook vinden deskundigen dat javascript een groot risico is omdat iemand toegang kan krijgen via de browser tot de pc.

Dus ja ik wist altijd al wat java en javascript zijn en wat het verschil is.

Grtz.

 

[Black Tiger]

In de meeste browsers staat java en javascript na installeren aan.

Nee dat is niet waar. Java is iets wat apart geinstalleerd moet worden en dat wordt normaliter met geen enkele versie van windows en geen enkele browser standaard geinstalleerd. Dat is javascript.

Java moet je altijd apart installeren, was vroeger van Sun en nu van Oracle.

Het zal best zijn dat je altijd al wist dat er een verschil tussen java en javascript was, maar je doet enkele uitspraken die gewoon niet juist zijn.
Zoals nu ook weer dat Java mee geinstalleerd zou worden, dat is nog nooit geweest.
Alleen javascript zit er standaard in en wordt ook door alle browsers standaard geactiveerd.

Ook vinden deskundigen dat javascript een groot risico is omdat iemand toegang kan krijgen via de browser tot de pc.

Geef eens een link waarin dat gezegd en bewezen wordt dan?
Want dit is gewoon bull. Dat heeft niets met javascript te maken mijns inziens maar met gaten in Java en Flash, en zoals wij dan beiden weten is dat iets anders dan javascript.

 

[Black Tiger]

En om je antwoord te geven over het waarom van dat noscript, dat is om je te beschermen tegen XSS aanvallen en cross zonen DNS aanvallen.
Het beperkt het gebruik van executable zaken, zoals Java en javascript maar ook anderen, tot een door jouw keuze gemaakte site of domein:

It allows JavaScript, Java and other executable content to run only from trusted domains of your choice

hetgeen dus niet aangeeft dat het kwaadaardig zou zijn. Met name bij Java zijn er wel vaak lekken en dat is het grote probleem. Bij Javascript is dat niet.

Het is overigens niet zo dat javascript totaal veilig zou zijn, een kwaadwillende website bouwer kan natuurlijk wel kwaadwillige code programmeren, maar dat kan ook wel met andere software waaronder php alleen is het met javascript makkelijker. En daarom dus die beperking die noscript geeft, dat bij een xss of cross dns als je verder geleid wordt naar een kwaadwillende site, daar geen kwaaraardig geprogrammeerde javascript uitgevoerd kan worden.

Waarom zie je nu dan wel sites waarom gezegd wordt dat javascript wel kwaadaardig zou zijn? Dat is omdat die sites waarop dat gezegd wordt beperkt zijn en gelieerd aan Google die nu zijn eigen soort javascript wil promoten, namelijk Caja.
En dan moet je dus het andere populaire gaan afbreken om te zorgen dat je eigen product meer gebruikt gaat worden.

 

[Kilroy]

Ik heb niet gezegd dat java met de browser geinstalleerd wordt.

Maar als java geinstalleerd is dan staat hij ook aan als je de browser hebt geinstalleerd.
Het schijnt dat java op 70% van de pc's geinstalleerd is en dus blijkbaar ergens voor nodig is.
Ook ik heb hem steeds geinstalleerd gehad maar ik weet niet meer precies waarvoor, mischien iets met adobe of flashplayer, ik weet het niet.
Belangrijkste was dat je hem in de browsers steeds uit kon zetten.

Ik ben het met je eens dat ook java stevige lekken kan hebben en bepaald niet failsafe is.
Merkwaardig genoeg blijft java nog steeds met nieuwe versies komen en naar ik aanneem betere.

Dat javascript gevaarlijk kan zijn heb ik op diverse plaatsen gelezen maar ik weet niet meer precies waar want het was een tijdje geleden.
Javascript is makkelijk voor webmasters en websites om dingen te doen en de meeste advertentie pop-ups gebruiken javascript daarvoor.
Ik blijf dus javascript met risico gebonden vinden.
Het feit dat kwaadwillige code geprogrammeerd kan worden via javascript maar ook via andere software betekent nog niet dat javascript daarom veilig is.
Maar iedereen die javascript veilig vindt staat het natuurlijk vrij om hem te gebruiken.

In elk geval zijn de noscript gebruikers van firefox er heel tevreden over.
Het is niet zo dat automatisch javascript uit staat voor alle sites, maar je kunt per site bepalen of hij veilig is of niet en per site marken.
Wat dat betreft is hij flexibeler dan de oude die je alleen aan of uit kon zetten.
Je moest dus per sessie werken.

Grtz.

 

[Kilroy]

Je hebt gelijk want java blijkt wel degelijk een risico te kunnen zijn maar ik heb geen idee in hoevere dat intussen is opgelost.
Ik had daar niet zo bij stil gestaan.

Je kunt inderdaad in instellingen java uitzetten in firefox maar dan onder add-ons en plug-ins en java helemaal uitzetten dat het niet start.
In opera werkt het iets anders en moet je in instellingen plug-ins aan hebben staan.
Vervolgens type je in de adresbalk operalugins en je krijgt weer eenzelfde lijst te zien als in firefox waarin je ook java kunt uitzetten.
Dus voor wie pers? veilig wil zijn is het redelijk eenvoudig.
Ook voor andere browsers als IE of chrome zal het wel soortgelijk gaan maar die gebruik ik niet, dus dat weet ik niet.

Voor wat betreft javascript is het wel duidelijk dat het ieders keuze is wat te doen.

Grtz.

 

[Black Tiger]

Ik heb niet gezegd dat java met de browser geinstalleerd wordt.

Klopt, maar deze onduidelijke uitspraak wekte op zijn minst sterk die indruk:

In de meeste browsers staat java en javascript na installeren aan.

Dat "na installeren" had dus net zo goed op de browser kunnen slaan en zo vatte ik het ook op, dus dan moet je toch iets duidelijker zijn.
Tevens klopte deze uitspraak niet omdat het in Chrome en in Firefox standaard niet aan staan en dat zijn toch twee van de drie meest bekende.

Maar als java geinstalleerd is dan staat hij ook aan als je de browser hebt geinstalleerd.
Het schijnt dat java op 70% van de pc's geinstalleerd is en dus blijkbaar ergens voor nodig is.

Nou ik denk dat het al lang geen 70% meer is. Vroeger werd Java echter wel vaker geinstalleerd omdat er sites waren die er gebruik van maakten. Onder andere de java chat applets waren erg populair en java games.
Maar men is er van terug gekomen. Nadat Oracla Java heeft overgenomen van Sun is het in het slob geraakt, zeker qua updates.
Java 6 had op een gegeven moment over de 150 gaten en dat zijn er nog steeds een behoorlijk aantal, enkele tientallen dacht ik.
Daarom is het uiterst onverstandig en risicovol om Java 6 nog geinstalleerd te hebben staan.
Zelfs Java 7 met de nieuwste updates bevat nog meer dan 5 lekken. En het meest ernstige lek was redelijk recent (oktober verleden jaar) eindelijk eens gedicht is door Oracle, was 5 maanden daarvoor al bij Oracle bekend en ze kwamen gewoon niet met een fix tussendoor. Terwijl een hacker met dat lek eenvoudig de pc kan overnemen, rootkits kan installeren en wat dies meer zijn.
Kortom, doe je geen java games of gebruik je geen java chat heb je feitelijk geen java meer nodig. De onveiligheid en het gebrek aan updates is dan ook de oorzaak dat zowel Firefox alsook Chrome java in de ban hebben gedaan en dat je het niet meer zomaar geinstalleerd krijgt in die browsers, als het je al lukt. En terecht!

Merkwaardig genoeg blijft java nog steeds met nieuwe versies komen en naar ik aanneem betere.

Helaas onvoldoende. Java 7 is er al een tijd en er zijn al updates geweest maar ook hier zijn lekken al van bekend, Oracle steekt er gewoon niet genoeg energie in en oplossingen duren daarom ook veel te lang. Dus dat is niet beter te noemen.

Javascript is makkelijk voor webmasters en websites om dingen te doen en de meeste advertentie pop-ups gebruiken javascript daarvoor.
Ik blijf dus javascript met risico gebonden vinden.

Dat is een persoonlijke gedachte dan, want zo wordt globaal niet gedacht. Je kunt met javascript leuke dingen doen, wordt ook gebruikt voor o.a. Google adsense, dus ja voor reklame en niet per definitie een popup.
Op Fun gebruiken we ook adsense, geen popup, wel reklame en ook wel javascript, daar is niets onveiligs aan.
Het probleem is dat het een programmeertaal is, en daar kun je wel gevaarlijke dingen mee doen maar dat kunnen webmasters ook met een stukje php hoor.
Dus niets is veilig als je op die manier wilt denken.

Het is niet zo dat automatisch javascript uit staat voor alle sites, maar je kunt per site bepalen of hij veilig is of niet en per site marken.

Ja dat is wat ik er ook al over schreef, maar dat heeft niets met javascript op zich te maken maar om het misbruik van hackers d.m.v. XSS en cross-dns te beperken, zoals ik al schreef.
Voor iemand met verstand van zaken is dat dus wel een verbetering en flexibeler, dat is zeker waar.
Een gewone gebruiker zal dat niet installeren en gebruiken want die zou nog niet eens weten wanneer het aan en uit te zetten.

Je kunt inderdaad in instellingen java uitzetten in firefox maar dan onder add-ons en plug-ins en java helemaal uitzetten dat het niet start.

Huh? Java staat standaard niet aan in Firefox, integendeel, je moet aparte truken uithalen om het geactiveerd te krijgen in Firefox, het staat niet aan default, dus hoef je het ook niet uit te zetten.

Voor wat betreft javascript is het wel duidelijk dat het ieders keuze is wat te doen.

Ieders vrije keuze ja, mee eens.
De meesten zullen er dus niets mee doen, want de grootste groep is nog altijd de doorsnee gebruiker.
En als je al weet dat velen daarvan ondanks waarschuwingen toch nog Java (en vaak zelfs nog Java 6) geinstalleerd hebben, terwijl ze geen idee hebben waar ze het voor nodig hebben, dan zullen ze zeker geen truuks gaan uithalen om javascript uit te zetten.
En dan zich maar afvragen hoe toch die trojans op hun systeem komen....

 

[Kilroy]

Tja BT, ik wilde alleen maar iedereen wijzen op de mogelijk van het gebruiken van het noscript en het bestaan ervan en wat het doet.
En van de mogelijke problemen van javascript.
Ik had er geen andere of foute bedoelingen mee.

Verder kan ik alleen maar uitgaan wat ik schrijf c.q de woorden ervan.
Dat iemand zou kunnen denken dat java met de browser geinstalleerd zou worden is niet bij mee op gekomen omdat ik het ook niet zo geschreven had.

Het is inderdaad wel zo dat java op de pc geinstalleerd moet zijn voordat het in de browsers kan verschijnen, en daar had ik niet bij stil gestaan omdat ik dacht dat op de meeste pc's java zou staan.
Dat van die 70% heb ik pas gelezen maar ik weet niet over welke datum het ging.
Er zijn een paar programma's die java nodig hebben adobe meen ik maar verder weet ik het ook niet zo.

Maar als java geinstalleerd is dan verschijnt het in firefox onder add-ons en dan onder plug-ins en staat er "Adobe Acrobat", "Java Platform", en nog wat andere plug-ins.
Die staan allemaal op een keuze menu mogelijk omdat ik de laatste versie firefox had gedownload en noscript had geinstalleerd.
De keuze in de plug-ins is "vraag om te activeren", "altijd activeren" en "nooit activeren.
Hij staat default "vraag om te activeren" en bij "nooit activeren" zet je java dus uit.
Het is dus goed mogelijk dat de plug-in "Java Platform" niet ertussen zit als java niet geinstalleerd is.

In Opera werkt het iets anders.
Daar moet je in instellingen plug-ins aan hebben staan.
Vervolgens type je in de adresbalk operalugins
Nu krijg dezelfde lijst plug-ins te zien als in firefox.
En onder "Java Platform" kun je met disable die uitzetten.

Iemand die java heeft geinstalleerd hoeft niet gelijk bang te zijn want java start niet automatisch op met windows en dus niet actief en als je hem in de browsers uit hebt staan wordt hij daar ook niet gestart.

Dat java fouten en lekken heeft gehad of mogelijk heeft is intussen wel duidelijk zat.

Grtz.

 

[Black Tiger]

Ik had er geen andere of foute bedoelingen mee.

Uiteraard niet, daar ben jij ook de persoon niet naar.
Het was ook slechts mijn bedoeling om enkele uitspraken over javascript te nuanceren of verduidelijken, aangezien dat in de meeste gevallen juist een hoop functionaliteit aan websites geeft en het uitschakelen daarvan niet de beste keuze is.

Maar als java geinstalleerd is dan verschijnt het in firefox onder add-ons en dan onder plug-ins en staat er "Adobe Acrobat", "Java Platform", en nog wat andere plug-ins.

Hij staat er wel bij maar werkt dan nog niet standaard. Je moet hem ofwel bij elke site met Java toestaan, ofwel op zo'n moment aanklikken dat hij altijd Java mag gebruiken en dat nadien nog eens bevestigen.
Dat is dus een stukje extra beveiliging van Firefox. Is dat eenmaal gedaan dan kun je altijd verder.
De functionaliteit van het noscript gaat nog iets verder en is daarmee een mooier stukje addon.

of mogelijk heeft

Laat dat "mogelijk" er maar tussenuit. Dat is gewoon een feit.
Zelfs na de patch die wederom eens 36 lekker er uit haalde in januari is de situatie nog steeds lang niet in orde. Voorbeeldje:
http://www.auscert.org.au/render.html?it=19162
Misschien is dat beperkt tot HP, want.... en dan komt grappig nieuws:
http://nakedsecurity.sophos.com/201...-flash-and-firefox-felled-java-left-standing/

Oftewel, tijdens de pwn2own day, zijn o.a. ook Firefox enkele keren voor de bijl gegaan en is Java als enige overeind gebleven op het eind van de eerste dag en de andere dagen schijnbaar ook.
Dus dat is dan misschien goed nieuws voorlopig.

Maarja, je hebt zelf ook al aangegeven dat Java niet veilig is, en daar zijn we het in elk geval roerend over eens.