Plugins für Chrome

[demklon]

Hallo Forum,
ich habe keine Plugins im Chrome, und mag mit den Besten anfangen.
YouTube Downloader benötige ich nicht mehr, da ich zum Glück genug Bandbreite besitze.


Was sollte ich für welchen Zweck haben?
Ich habe den Voice aloud Reader, Vorlese Geschichte.


Gibt es Sicherheits technisch irgendwas empfehlenswertes?




Danke Forum



klon

[Peterxy]

Neben obligatorischen Werbeblocker, macht allenfalls Ublock noch Sinn.
Sachen wie noScript o.ä. fände ich persönlich sinnfrei, weil damit kaum noch was läuft.

Was sollte ich für welchen Zweck haben?
Kommt drauf an, für welchen Zweck du etwas suchst und mit hellsehen ists so ne Sache. :wink:

[Rooter]

Neben obligatorischen Werbeblocker, macht allenfalls Ublock noch Sinn.:uconf2: uBlock ist doch ein Werbeblocker!?

MfG
Rooter

[demklon]

Hey Forum,

habe mir UBlock, und HTTPS Everywhere geholt, sollte ich sonst noch irgendetwas besorgen?

Ich denke mit den beiden ist das meiste abgedeckt,
oder gar noch was vergessen? :confused:


Danke fir Forum



Gruß



klon

[Peterxy]

In Chromederivaten läßt sich u.a. die isolated Tabs Flag setzen (soll Spectre Angriffe erschweren):
browser://flags/#enable-site-per-process
Was man sonst noch zusätzlich tuen kann, ist eine Sandbox - unter XP z.b. nutze ich einen Virenscanner mit intregrierter Sandbox in der der Browser dann läuft. Für Win 7 /10 gibts Tools wie Sandboxie o.ä.

An Browser Plugins ansich gibts nichts groß was die Sicherheit erhöht, ein aktuell gehaltener Virenscanner schon eher.
Abseits des Sicherheitskrams gibts viele nützliche Plugins für videodownloads, Tabs suspender & so.

[demklon]

Hey,

danke Dir vielmals. Ich fahre schon Jahre ohne Virenschutz, der Microsoft AV muss reichen, und selbst wenn es mal richtig mies kommt, und ich Datenverlust erfahren, isses nicht so schlimm, da ich keine sensiblen Daten behandle.

Ich fahre schon Jahre so, und es war noch niemals etwas ernstes.
Die wichtigen Daten sind auf ner externen HDD.



Gruß



klon

[lumines]

Was man sonst noch zusätzlich tuen kann, ist eine Sandbox - unter XP z.b. nutze ich einen Virenscanner mit intregrierter Sandbox in der der Browser dann läuft. Für Win 7 /10 gibts Tools wie Sandboxie o.ä.

Jeder moderne Browser benutzt Sandboxen in irgendeiner Form.

[Peterxy]

Das dem browserseitigen Sandbox Mode Grenzen gesetzt sind, weißt du gewiss.
Wer es gerne sicherer mag = dafür gibts Tools, die sämtliche Änderungen an Windows inkl. aller Dateien, Schreibzugriffe usw. in eine Virtualisierung umleiten.

[lumines]

Wer es gerne sicherer mag = dafür gibts Tools, die sämtliche Änderungen an Windows inkl. aller Dateien, Schreibzugriffe usw. in eine Virtualisierung umleiten.

Also exakt das, was Chrome / Chromium sowieso schon machen. Ich kann nur einmal empfehlen nachzulesen, warum die Architektur von Chrome 2008 so revolutionär war. Chrome / Chromium sind ein gutes Stück intelligenter designet als einfach nur den gesamten Browser in eine VM zu packen (was wohlgemerkt in vielen Fällen keine Sicherheit liefert, weil es nur den Browser vom System trennt, aber nicht die einzelnen Komponenten voneinander im Browser selbst).

Das hier dürfte die aktuellste High-Level-Übersicht sein, was moderne Browser so machen:

https://chromium.googlesource.com/chromium/src/+/lkcr/docs/design/sandbox_faq.md

https://chromium.googlesource.com/chromium/src/+/lkcr/docs/design/sandbox.md

[Peterxy]

Den AMTSO Test hatte ich vor Monaten mal mit (zu dem Zeitpunkt) aktuellen Chrome unter Win7 ausprobiert und das Drive-by-download Exploid landete ohne jegliche Warnmeldung einfach in Downloadordner.
Soll das etwa Sicherheit vermitteln?
Wohl kaum, wenn andere Browser den Download blockten und ja mag sein, das aktuelle Chromebuilds das mittlerweile auch viel besser können. :wink:

Nur, was denkste wohl was passiert,
wenn du dir ein verseuchtes Programm runterlädst + installierst was dein Virenscanner & CO nicht erkennt?

= in dem Fall hast du den Kram trotz deiner browserseitigen Sandbox schlicht im System drin und spätestens wenn dir auffällt, das was nicht stimmt - kannst du erstmal zusehen wie du das Problem wieder loswirst. (wohingegen Leute die dbzgl. auf andere Lösungen setzen, einfach nur ihren Pc neu booten und das Problem ist "erledigt")
Aber ja, viele Wege führen nach Rom. :smile:

[lumines]

Den AMTSO Test hatte ich vor Monaten mal mit (zu dem Zeitpunkt) aktuellen Chrome unter Win7 ausprobiert und das Drive-by-download Exploid landete ohne jegliche Warnmeldung einfach in Downloadordner.
Soll das etwa Sicherheit vermitteln?

Du wirfst das etwas durcheinander. Du benutzt hier "Exploits" als Synonym für Viren.

Eine Sandbox schützt dich aber nicht vor Drive-by-Downloads, sondern davor keinen schädlichen Code außerhalb eines bestimmten Kontextes auszuführen.

Wohl kaum, wenn andere Browser den Download blockten und ja mag sein, das aktuelle Chromebuilds das mittlerweile auch viel besser können. :wink:

Äpfel vs. Birnen. Ein Browser hat mit sehr viel mehr Angriffsvektoren zu kämpfen als vom Nutzer losgetretene Downloads.

Nur, was denkste wohl was passiert,
wenn du dir ein verseuchtes Programm runterlädst + installierst was dein Virenscanner & CO nicht erkennt?

Wie jeder zivilisierte Mensch checke ich natürlich die Prüfsummen und digitalen Signaturen. Ich bin nicht so der Fan von Spekulationen. Wenn man sich für so etwas auf einen Virenscanner verlässt, hat man doch schon längst die Kontrolle über seinen Rechner verloren.

[Peterxy]

Wenn du richtig liest, wird dir auffallen das ich von 2 verschiedenen Dingen gesprochen hatte, einmal von einer Sandbox und einmal von einer kompletten Virtualisierung. In einschlägigen Sicherheitsforen haben schon versiertere durchprobiert was div. Tools (Diskshot & co) durchlassen.
(man könnte auch sagen: Jenach Konstellation ist das fast so sicher wie mit ner schreibgeschützten KnopixCD surfen)

Äpfel vs. birnen?
Interessiert nicht, nur das Resultat zählt und entweder ein Browser erkennt eine Bedrohung oder nicht
(in letzteren Fall kannste nur hoffen, das andere Schutzmechanismen wie Virenscanner & Co greifen)

[lumines]

Interessiert nicht, nur das Resultat zählt und entweder ein Browser erkennt eine Bedrohung oder nicht
(in letzteren Fall kannste nur hoffen, das andere Schutzmechanismen wie Virenscanner & Co greifen)

Mein Browser erkennt gar keine "Bedrohung". Das ist auch gar nicht seine Aufgabe. Apple, Google und Mozilla pflegen ein paar Blocklisten mit bekannten Domains, die Schadcode ausliefern oder für Phishing missbraucht werden, aber viel mehr sollte ein Browser auch nicht machen. Ich will nicht für jedes Dateiformat unter der Sonne einen ranzigen Parser in meinem Browser haben, dessen Code jemand einmal vor 10 Jahren in seinem Keller geschrieben hat. Bei deinem Yandex-Browser hat das schon öfter für klaffende Lücken gesorgt.

In letzterem Fall checke ich die Signaturen und führe einfach gar keinen unsignierten Code aus. Seit den 90ern ein gelöstes Problem.

Wenn du richtig liest, wird dir auffallen das ich von 2 verschiedenen Dingen gesprochen hatte, einmal von einer Sandbox und einmal von einer kompletten Virtualisierung. In einschlägigen Sicherheitsforen haben schon versiertere durchprobiert was div. Tools (Diskshot & co) durchlassen.

Sandboxen und Virtualisierung sind kein entweder-oder. Du redest hier von "einer" Sandbox, aber moderne Browser sitzen nicht einfach in einer einzigen großen Sandbox. Die einzelnen Komponenten sind gesandboxt und voneinander isoliert. Kannst du alles in den beiden verlinkten Dokumenten nachlesen. Du verstehst die Risiken nicht, daher wirfst du das komplett durcheinander. Moderne Browser sind Plattformen für Anwendungen und müssen die voneinander isolieren. Keine Ahnung, wie Virenscanner und Virtualisierung da überhaupt ins Bild passen. Man kann nicht einfach Technologie auf ein Problem werfen und hoffen, dass man damit alle Probleme löst.

Wenn ich bei der Expertise zwischen Sicherheitsforen(TM) und Leuten wählen kann, die einen der sichersten Browser und Anwendungsplattformen geschrieben haben, an dem sich in der Praxis seit über einem Jahrzehnt die besten Sicherheitsforscher der Welt die Zähne ausbeißen, dann weiß ich schon, wem ich eher traue.

Realitätscheck: Man ist heute am sichersten unterwegs, wenn man einfach einen der großen Browser benutzt und die benutzten Extensions auf ein Minimum reduziert. Weniger ist heute mehr. Selbst der Firefox hat mittlerweile aufgeholt.

[Peterxy]

Wie jeder zivilisierte Mensch checke ich signaturen... Wenn man sich auf einen Virenscanner verlässt, hat man blalblaa ... längst die Kontrolle verloren.
Keine Ahnung, wie Virenscanner ...da überhaupt ins Bild passen.
Jaja, natürlich erkennst du Pishing Pages, Trojaner, Malware & was auch immer, gar schon per "Fernblick".

Downloads?
"Zivilisierte Menschen" gleichen die digitalen Signaturen ab?
Ach ist dem so, ob FFMPEG oder was auch immer, kommt ohne jegliche digitale Signatur daher und schaltest du in so Fällen, dann deine ;D "speziellen" ;D Röntgenaugen ein oder wie?

Falls ja, ist das schön für dich :up:
- nur was hat das alles mit der Eingangsfrage des TE zu tuen?

[lumines]

Jaja, vermutlich erkennst du Pishing Pages & was auch immer, gar schon per "Fernblick".

Ganz im Gegenteil. Ich erkenne nichts davon und gehe auch nicht davon aus, dass ich Phishing-Seiten anhand des Inhalts zuverlässig erkenne. Ich checke einfach immer die Domain vor dem Login oder, noch besser, benutze einfach einen U2F-Key für Dienste, die das unterstützen (momentan Gmail, Facebook und GitHub bei mir). U2F und die standardisierte Web Authentication API sind so ziemlich die einzigen funktionierenden Maßnahmen gegen Phishing im Web: https://www.w3.org/TR/webauthn/

Alles andere wird nur mit Heißkleber, Community-gepflegten Listen und ein bisschen Spucke gegen Phishing benutzt und zusammengehalten. U2F und WebAuthn werden Phishing dagegen kategorisch ausschließen und unpraktikabel machen.

"Zivilisierte Menschen" gleichen die digitalen Signaturen ab?
Ach ist dem so, ob FFMPEG oder was auch immer, kommt ohne jegliche digitale Signatur daher und schaltest du in so Fällen, dann deine ;D "speziellen" ;D Röntgenaugen ein oder wie?

Zufällig sind alle Releases von ffmpeg bis runter zu 0.5 per PGP signiert: http://ffmpeg.org/releases/

Hast du dich noch nie gewundert, wozu diese ganzen *.asc-Dateien sind? Die sind nicht zum Spaß da.

Falls ja, ist das schön für dich wenn deine Augen gar besser scannen können als ein Virenscanner :up:
- nur was hat das alles mit der Eingangsfrage des TE zu tuen?

Virenscanner arbeiten intern genau so mit Prüfsummen für bekannten Schadcode. Zusätzlich benutzen die noch irgendwelche lahmen und fehleranfälligen Heuristiken, um unbekannte Viren zu erkennen. Wenn man einfach keine unbekannte und unsignierte Software installiert, hat man damit natürlich weniger ein Problem.

Das hat insofern mit der Eingangsfrage zu tun, als dass du unpassende Technologien als Lösung für vielschichtige Probleme präsentierst. Der TE braucht keine Sicherheitsplugins und keine Virenscanner in seinem Browser.

[Peterxy]

Was redest du da für wirre Dinge,
gar nix ist bei den Static Builds an asc Dateien dabei - aber schon klar, du compilierst dir wahrscheinlich noch dein eigenes FFMPEG zu hause selbst. Hast ganz offensichtlich Zeit zuviel & herzlichen Glückwunsch dazu.

Na da reih ich mich aber doch gerne in die Riege "der unwissenden" ein, die sich noch auf Virenscanner verlassen. :smile:

Prüftst vorher händisch jede Domain auf Sicherheit bevor du sie ansurfst? :freak:
Tja, häts besser wohl en anderen Browser incl. Virenscanner und selten so gut gelacht *gg*:
Man, geh mal auf die Straße und mach einfach ne Umfrage, wieviel "zivilisierte Menschen" das so handhaben und laß uns mal meine "hellseherischen" Fähigkeiten testen:
Du bist weit + breit der einzigste :tongue:
(allenfalls hier im forum unter deinesgleichen, mags sich das was anders verhalten)

[lumines]

Was redest du da für wirre Dinge,
gar nix ist bei den Static Builds an asc Dateien dabei - aber ist schon klar, du compilierst dir wahrscheinlich auch noch dein eigenes FFMPEG zu hause selbst. Hast ganz offensichtlich Zeit zuviel & herzlichen Glückwunsch dazu.

Das war nur ein Beispiel. Unter Windows benutze ich einfach die Builds vom Ubuntu-Subystem, die dann auch wiederum vom jeweiligen Maintainer signiert sind.

Na da reih ich mich aber doch gerne in die Riege "der unwissenden" ein, die sich noch auf Virenscanner verlassen. :smile:

Was heißt "noch"? Man weiß schon seit Jahrzehnten, dass das Problem, was Antivirenscanner versuchen zu lösen, wortwörtlich unmöglich effizient zu lösen ist. Als Zusatz sind sie in Ordnung, aber niemand sollte sich darauf verlassen. Die Antivirenindustrie versucht nur mit viel Marketing ihre Sicht auf Rechnersicherheit als allgemeine Lösung durchzudrücken. Verständlich, denn ein unlösbares Problem jahrelang zu massieren und andere Leute dafür zur Kasse zu beten ist praktisch die Lizenz zum Gelddrucken. Mit echtem Fortschritt hat das nur leider nichts zu tun.

Prüftst vorher händisch jede Domain bevor du sie ansurfst? :freak:

Nur wenn ich mich selbst dort einloggen will oder muss.

Tja, häts besser wohl en anderen Browser und selten so gut gelacht *gg*:
Man, geh mal auf die Straße und mach einfach ne Umfrage, wieviel "zivilisierte Menschen" das so handhaben und laß uns mal meine "hellseherischen" Fähigkeiten testen:
Du bist weit + breit der einzigste :tongue:

Die Umfrage wäre sehr stark verzerrt, weil es niemand bewusst macht, aber alle indirekt nutzen. Windows prüft seit Ewigkeiten die Signaturen von Treibern. Praktisch jeder Auto-Updater in deinen Programmen benutzt intern irgendeine Form von Public-Key-Kryptografie, um die Signaturen zu checken. Einerseits als Integritätsprüfung, damit das Programm sich nicht selbst durch einen kaputten Download zerlegt, und andererseits eben um Manipulationen zu verhindern.

Du kannst wortwörtlich auf einem Android- oder iOS-Phone keine Apps ohne digitale Signatur installieren. Ob man der Signatur traut, ist noch eine andere Frage, aber speziell Apple und Google haben ja ihre zentralen Stores, welche das automatisieren. Besser als von irgendwelchen Webservern komplett unbekannte Binaries zu installieren ist das allemal.

Nur weil Desktop-Systeme in der Hinsicht noch in der Steinzeit leben, bedeutet das nicht, dass die Welt sich nicht weiterdreht. Im Grunde mache ich nur das manuell, was sowieso vollautomatisch am Smartphone abläuft.

[Daredevil]

Ich habe gerne noch AutoHD ( Heißt jetzt Magic Enhancer für YouTube™ ), damit jedes Youtube Video direkt die Qualität hat, die ich eben haben möchte. ( Zuhause Max 8k, unterwegs max. 720p ), ansonsten uBlock drauf und das wars auch schon. :)

[demklon]

Ich nutze Ublock schon ein ~ halbes Jahr, und HTTPs auch schon etwa diese Zeitspanne, ich werde von solch bösen Tricks verschont, das liegt dann wohl an Ublock, kann ich die sorgenfreien Surf stunden wirklich Ublock zuschreiben?

Wie funzt Ublock eigentlich in einfachen Worten?
Datet sich Ublock von alleine up?

Und fast vergessen, das Https, welches ich damals drauf gemacht habe, als ich Ublock drauf gemacht habe, taugt das?




Gruß, und merci



klon =)

[lumines]

Ich nutze Ublock schon ein ~ halbes Jahr, und HTTPs auch schon etwa diese Zeitspanne, ich werde von solch bösen Tricks verschont, das liegt dann wohl an Ublock, kann ich die sorgenfreien Surf stunden wirklich Ublock zuschreiben?

uBlock blockt Werbung, Popups und viele unseriöse Inhalte. Sehr wahrscheinlich wird das auch daran liegen.

Wie funzt Ublock eigentlich in einfachen Worten?

Es blockt Teile von Webseiten. Dafür hat es Listen integriert, in denen steht, was genau geblockt werden soll.

Datet sich Ublock von alleine up?

Ja. Die Listen übrigens auch.

Und fast vergessen, das Https, welches ich damals drauf gemacht habe, als ich Ublock drauf gemacht habe, taugt das?

Meinst du das hier?

https://www.eff.org/de/https-everywhere

HTTPS Everyhwere ist heute nicht mehr wirklich nötig. Es wird aber weiter gepflegt und schadet auch nicht.

[demklon]

Hallo Forum,
ich danke Dir lumines.

Nun habe ich mit den beiden Plugins die beste Kombination gefunden.
Ich surfe ohne nervige Popups, und Werbung.

Was ist HTTPS Everywhere, oder benötige ich dasy Plugin nicht, da schon alles von Ublock erledigt wird?



Gruß


klon

[lumines]

Was ist HTTPS Everywhere, oder benötige ich dasy Plugin nicht, da schon alles von Ublock erledigt wird?

HTTPS Everywhere macht etwas anderes als uBlock.

Mit uBlock wird Werbung geblockt. HTTPS Everywhere leitet dich auf verschlüsselte Varianten einer Webseite um.

Das Web kann mittlerweile von sich aus so etwas wie HTTPS Everywhere, aber für einige Webseiten kann es noch helfen. Wirklich nötig ist es aber nicht mehr.

[demklon]

Thx Nase, werde ich es wohl entfernen.


Gruß´



klon