高木浩光＠自宅の日記 - 「NoScript」をやめて「RequestPolicy」にした

■ 「NoScript」をやめて「RequestPolicy」にした セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。 JPCERT/CC、技術メモ「安全なWebブラウザの使い方」を公開, INTERNET Watch, 2008年11月4日 *1 技術メモ − 安全なWebブラウザの使い方, JPCERT/CC, 2008年11月4日 IV. 各 Web ブラウザに共通する設定上の注意事項 1. スクリプト等の実行を制限する JavaScript 等のスクリプトや（略）は（略）Ajax に代表されるインタラクティブなインターフェースが実現できるなど、高い利便性が得られます。反面、PC 上の重要なファイルを削除・変更するなど、悪意を持った処理が行われる可能性もあります。従って無制限にスクリプト等を実行できるようにしておくのは

[FTTH]

使ってみたが、ドメイン指定の際「サブドメイン指定可＋ワイルドカード使用可」でないのがこんなにストレスフルとは思わんかった。この点さえ改善されたら乗り換えたいんだがなぁ。

[kikai-taro]

2009年当時の記事なので、その後の歴史を勘案する必要ありかも。

[xxxx222]

高木浩光＠自宅の日記 - 「NoScript」をやめて「RequestPolicy」にした

[mightyforest]

RequestPolicyを試用中、とりあえずググった後のリダイレクトは許可しとかないと302がうっとうしいということが分かった

[yuimoke]

技術的な話は分かりにくいが、自衛のために知っておかなきゃなぁ、と思う…が難しい。

[rawwell]

"YouTubeなどを埋め込んだページや、はてなブックマークの「○○ users」の画像なども、デフォルトでは全てのサイトでブロックされてしまうが、ステータスバーのメニューから「Allow requests to hatena.ne.jp」を選ぶことで、信用

[asiamoth]

使いこなせば便利そうだが、そこまでのハードルの高さは NoScript 以上だ。たとえば、Google の検索から結果を開く（リダイレクトされる）だけでも許可を求められる……。

[sett-4]

セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。

[campy]

"私は、そういうのはそれぞれ別々の拡張機能で提供されるのがスマートだと思うし、頻繁にアップデートされて、いつどんな変更がなされるのかわからないことも不安材料になっていた。 "

[riocampos]

「NoScript」推奨の方がよく居られますが、Webページが使いづらくなりすぎるので直ぐに取っ払ってしまいましたよ。/「RequestPolicy」使ってみるか。

[stealthinu]

デフォルトでは同一ドメインのみ読込可能にするプラグイン

[benediktine]

自分の場合は、余計なJavaScriptを切る事でできるだけページを速く表示する目的もあってのNoScriptなので、使うのをやめるつもりは今の所ないなあ。

[kgbu]

やっぱNoScriptは面倒かなぁ。複数の選択肢がある状況は望ましいと思う。とりあえずRequestPolicyをためしてみよう。

[ardarim]

安全の為というのもあるけど、重いのが嫌だからというのも理由の一つかな。未だに不必要にゴテゴテしてるページが多すぎる。／本当はアドオンじゃなくてブラウザ本体にこういう機能を充実させてくれるといいんだけど

[monjudoh]

『Webの仕様では、JavaScriptは安全であり、常時オンでかまわない。そのように設計されている。危険があるとすれば、何らかに脆弱性が存在していて、修正していないときである。』

[znz]

NoScriptでjavascriptをオフにしているのはセキュリティも気になったけど、重いからというのが元々の一番の理由だったような覚えが。

[uzuki-first]

noscriptには最初からかなり違和感があった

[SavingThrow]

"Webの仕様ではJavaScriptは安全であり常時オンでかまわない。危険があるとすれば、何らかに脆弱性が存在していて修正していないとき。JavaScriptのオフはその脆弱性についての回避策（の一つ）であって解決策ではない。"

[gogatsu26]

今でも「じゃばオフで」というよくわかってない人もいるしな

[rokudenashi]

Safariでなんかないのー？／ちょっと違うけどブラクラって最新のブラウザでもあるのかな

[abyssgate]

とにかくJavaScriptオフ教みたいなのには今の自分は賛同しないが、気持ちは分かるんだよな

[T_Tachibana]

JavaScript切ったら何が何だかなサイトが多い現在、基本OFFというのは現実的でないと思う。RequestPolicy使ってみるか。／NoScriptをMacで使うとイラッとする。ウィンドウ下の黄色い帯がウザイ。色変えて欲しい。

[TakamoriTarou]

先日GENOウイルスが話題になった際「Javascript切れ」「感染したら初期化」と言う話ばかり先行して、すでにパッチがあるのに肝心のFlashやAcrobat Redaerの更新が出てこなかった時に感じたもやもやがここに。同意である。

[namikawamisaki]

「ある脆弱性が発見されてパッチがまだ出ていないときに、回避策としてJavaScriptのオフが紹介されることがよくあるが、それはその脆弱性についての回避策（の一つ）であって解決策ではない。」

[te2u]

JPCERT/CCがNoScriptを勧めるのは、それに代わるより有用で信用できるadd-onがないからでは？/RequestPolicyは、現時点ではexperimental add-onだから勧められないでしょうに。

[shioki]

"一般の人にまで推奨できるものではないが、それなりにWebを使いこなす人ならば、「RequestPolicy」を使ってみることで、今時のWebサイトがどんな構成になっているのか知るのにも役立つだろう"

[hiby]

RequestPolicyも試してみようかな。ホワイトリストは意味がないと思っていた。Javascriptがなんかやらないと見れないサイトに価値はないと思っている。

[tinsep19]

これらの解説が駄目なのは、Webの仕様（本来あるべき姿）と脆弱性の存在（ある時点での現実）とを区別せずに説明しているからだ。Webの仕様では、JavaScriptは安全であり、常時オンでかまわない。

[at_yasu]

「Javascriptを実行するな」という身も蓋もない対策のお話／JpCert/CCって案外ずぼらなのね

[potD]

NoScriptの異常な更新頻度は何だろうと思っていたけど、そういうことか。/ 技術屋は一つ覚えのように高木氏のいうことを丸のみするのではなく、そもそも(ry / とはいえ信頼しているので試してみる。

[andalusia]

『もっとも、「RequestPolicy」でもそれは同じであるし、やはり、一般の人達に推奨できるほど、簡単に使いこなせるものでもない。』 → ほんと、一般の人はどうしたらいいんでしょうねぇ・・・