NoScript-ontwikkelaar wil Script Surrogates-extensie voor Chrome en Firefox
Giorgio Maone, ontwikkelaar van de populaire NoScript-extensie voor Firefox en Google Chrome, wil een nieuwe extensie ontwikkelen die trackingscripts vervangt door een surrogaatscript. Een functionaliteit die lange tijd onderdeel van NoScript uitmaakte, maar door ontwikkelingen aan de kant van Firefox het veld moest ruimen. NoScript is een extensie die allerlei scripts op websites blokkeert. Dit kan er echter voor zorgen dat bepaalde delen van de website niet of niet goed meer werken.
Al in 2009 bedacht Maone een oplossing genaamd "Surrogate Scripts". Wanneer NoScript een extern script blokkeert kijkt de extensie of de url met een bepaald patroon overeenkomt. Is dit het geval, dan laadt NoScript een surrogaatscript dat in plaats van het externe script op de website wordt uitgevoerd. In 2017 lanceerde Mozilla een compleet vernieuwde versie van Firefox genaamd Qunatum, wat gevolgen had voor extensies.
In het geval van NoScript zorgde dit ervoor dat Surrogate Scripts niet kon worden overgezet naar de NoScript-extensie voor de nieuwe Firefox-versie. Gisteren kwam Mozilla met Firefox 87 die over een soortgelijke functionaliteit beschikt genaamd SmartBlock. Deze feature vervangt geblokkeerde third-party trackingscripts door een lokale "stand-in". Dit lokale, vervangende script werkt net genoeg als het origineel om ervoor te zorgen dat de website blijft werken, maar de gebruiker niet wordt gevolgd.
Volgens Maone hebben veel gebruikers van NoScript en andere contentblockers herhaaldelijk gevraagd om Script Surrogates weer toe te voegen en mist hij de feature zelf ook. Daarnaast biedt de SmartBlock-feature van Firefox minder mogelijkheden dan Script Surrogates deed. Aanleiding voor Maone om Script Surrogates als losse extensie voor Firefox en Chromium-gebaseerde browsers te gaan ontwikkelen. De extensie zou dan als aanvulling kunnen worden gebruikt voor NoScript en andere contentblockers.
Ik denk, dat de meest direct verantwoordelijke ontwikkeling voor deze dillema's Google Chrome en chromium-like ontwikkelingen zijn. In Google Chrome is het namelijk nog nooit mogelijk geweest om Giorgio Maone's NoScript en dus ook Surrogate Scripts te kunnen 'porten'. Daarvoor hield Google hun zogenaamde open source browser met vendor-lock-in in de lagere regionen gewoon te veel op slot. Mozilla Firefox en ook Microsoft Edge en tal van andere chromium-achtige browser zijn "onderhorig" aan welke kant Google met "zijn/de browser" op wil. (We zitten tenslotte inmiddels allemaal zelf dagelijks in een lock-in, vendor-produced or not ;))
Ben benieuwd of SmartBlock en/of surrogate scripts naar Tor-firefox komen. Dat zou die wel wat "harden" tegen onwelkome tracking door scripts lokaal te kunnen "vervangen on the fly".
Lees eens uit het verleden: https://github.com/hackademix/noscript/issues/133
Met de api- en engine-beperkingen, die Google in het vooruitzicht heeft gesteld en het slechts per website tolereren van een blokkeringen, zal het voor extensie-bouwers steeds moeilijker worden om ons zich te kunnen laten weren tegen het voortgezette ad- en track-circus en de drang om dit voor de eindgebruiker zo ondoorzichtig mogelijk te laten gebeuren (via o.m. de Cloud etc.).
Men zal nog wel een poosje gedwongen worden door hoepeltjes te springen door/voor deze grote Big Tech monopolisten.
Maar wakkere geesten zijn hun meest gevreesde opponenten. Dit vergezeld van een spreekwoordelijke dikke vinger, opgestoken naar deze "spooks", die het Internet steeds verder compleet willen controleren in hun machtshonger (total surveillance).
Dikke doei van,
luntrus
Google zorgt voor een steeds dichter aangeschroefde vendor lock-in wereldwijd.
Het wordt steeds moeilijker om uw privacy en nog wat Internet-vrijheden te behouden.
#sockpuppet
Maar de mazen van het net waarin wij worden gevangen door een van de honderden klonen van de Page's en de Brin's, de Zuckerberg's, de Bezossen en de Ma's worden steeds nauwer en strakker aangespannen.
Nooit had ik 20 jaar geleden gedacht dat ik ooit zou moeten overwegen: het opheffen van accounts (hoewel dat een Pyrrusoverwinning zal blijken te zijn) en waar ik inmiddels al langer mee bezig ben dan sinds kortgeleden.
Heeft het zin?
Neen dus.
ik denk al lang niet meer.
Het geeft kort een matig gevoel van voldoening; dat wel, maar slechts dat alleen.
Mijn metadata en die van enkele 'duizenden miljoenen' anderen zijn al over de internet aardbol verhusseld en verstrooid als zaden in de wind om gevangen te worden en geëxploiteerd, verhandeld en crimineel misbruikt door toedoen van datalekken.
Google zorgt voor een steeds dichter aangeschroefde vendor lock-in wereldwijd.
Het wordt steeds moeilijker om uw privacy en nog wat Internet-vrijheden te behouden.
#sockpuppet
Het staat iedereen vrij om een niet-google browser te gebruiken. Als maar genoeg mensen dat zouden doen, dan wordt die lock-in vanzelf kleiner.
Maar natuurljk heb ik niet de verwachting dat dit gaat gebeuren. We zijn uiteindelijk gewoon vee, en we volgen de grote meute.
En wel met zijn unieke NoScript extensie. Daarnaast noem ik ook het helaas nu door de developer verlaten en nog niet door een andere ontwerper gevorkte uMatrix.
De nieuwe api engine plannen van Google zijn voor veel blokkeringsextensies fnuikend. Het is omineus en zit in de pijplijn voor Google Chrome en alle chromium-achtige bladeraars. Vreest allen dus met grote vreze voor deze monopolist in extremis.
Dit soort oplossingen (script blokkers en script tot lokaal herschrijvers) zijn oplossingen voor huidige bedreigingen en ook die van de toekomst. Het werkt namelijk altijd. Wat niet kan aflopen, kan niet infecteren of exploitabel zijn. Zo simpel en tegelijkertijd vol effectief is dit idee.
Ik schrijf deze posting in Brave (de browser ontsproten aan het brein van de man die JavaScript ooit lanceerde, Brian Eich, met in deze browser een actieve ClearURLs extensie en Disconnect extensie actief. Drie scripts worden veranderd on the fly door toedoen van ClearURLs op de pagina waarin ik dit berichtje nu ingeef.
Ook het gebruik van TamperMonkey met eigengemaakte user scripts kan voldoenend werken. Je blokkeert bijvoorbeeld overal Amazon AWS scripts of haalt de scripts door de ClearURLs. Maar ja, daar voelt niet iedereen zich toe geroepen.
Blijf error-hunten, luitjes, en blijf er hierover berichten. Zodat we er allen wil van mogen hebben.
Blijf gezond en veilig online en offline, is de wens van,
luntrus
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
