Informatics Educational Institutions & Programs

Ressourceneinbindung im Browser

Diese Projektseite beschreibt einen Sicherheitsmechanismus in Browsern, der die Nutzung erweiterter Werkzeuge beim Bearbeiten von Wiki-Seiten oder fortgeschrittene Darstellungselemente verhindern kann.

Es gibt Schutz-Software für den Browser, die aus Sicherheitsgründen eine Ausführung von bestimmten Skripten still und leise verhindert, etwa NoScript.

Grundsätzlich sollen in eine im Browser dargestellte Seite (HTML-Dokument) nur solche Ressourcen eingebunden werden, die aus der gleichen Domain stammen, also de.wikipedia.org für die deutschsprachige Wikipedia (wobei oft nur auf wikipedia.org geprüft wird; also alle anderen Wikipedia-Sprachversionen akzeptiert würden). Ressourcen anderer Herkunft werden als gefährlich eingestuft und können blockiert werden.

Unter „Ressourcen“ sind zu verstehen:

1. JavaScript
   • Häufig als Benutzerskripte; auch eigene Skripte in einem anderen Wiki.
   • Weltweite Gadgets.
   • Einige Cloud-Helferlein antworten mit einer Skripteinbindung.
2. CSS
   • Selten, aber gelegentlich vorkommend.
3. Bilder
   • Praktisch nie; in der Regel werden die Bilder direkt aus der URL im Browser dargestellt.

In einer guten Skript-Dokumentation wird dargestellt, wenn Ressourcen von unerwarteten Stellen benötigt werden.

Es ist aber nicht notwendigerweise alles, was in einem Wiki-Projekt und selbst in der eigenen Domain angeboten wird, völlig unbedenklich; siehe Benutzerskripte/Hinweise.

Es wären ggf. die folgenden Second-Level-Domains freizugeben:

Siehe zu Details und Subdomains auch: Netzwerk/Domains

Je nach Mechanismus ist unterschiedlich vorzugehen. Meist ist nur JavaScript betroffen.

• NoScript: [Einstellungen] → [Positivliste]
  • Es müssen die vollständigen Domain-Bezeichnungen angegeben werden, also etwa en.wikipedia.org für ein Skript aus der englischsprachigen Wikipedia.
  • Der deutschsprachigen Wikipedia wurde vermutlich längst durch einfachen Mausklick die Ausführung von Skripten erlaubt.
  • In seltenen Ausnahmefällen kann bei komplexen Skripten auch Cross-Site-Scripting (XSS) notwendig werden: [Einstellungen] → [Erweitert] → [XSS]
• Im Internet Explorer müssen die Second-Level-Domains ggf. unter [Internetoptionen] der Liste „Vertrauenswürdige Sites“ hinzugefügt werden.
  • Den „Vertrauenswürdigen Sites“ muss erlaubt sein: „Auf Datenquellen über Domänengrenzen hinweg zugreifen“ (wohl standardmäßig vorgegeben).