Administrator's Blog

Wie ich zu meiner Erheiterung eben auf Heise gelesen habe, leitet perl.com neuerdings auf ein dubioses Blog (grepblogs.net) weiter, wo mit Erotik-Inhalten geworden wird. Witzigerweise gehört diese Domain aber Tom Christiansen, einem bekannten Perl-Entwickler. Offenbar hat er versucht, sich ein zweites Standbein aufzubauen, wenns mit PERL mal nicht mehr so klappt Das PERL-Hauptquartier unter perl.org ist aber weiterhin problemlos erreichbar.

Dies ist auf jeden Fall mal wieder ein tolles Beispiel dafür, dass man fremde JavaScript nicht auf seiner Seite einbinden sollte. Schuld ist hier nämlich ein JavaScript-Include, das folgendermaßen aussieht:

<script src="http://grepblogs.net/adx.js" type="text/javascript" language="JavaScript">

Normalerweise liefert dieses Script wahrscheinlich nur ein Banner oder so etwas aus, in diesem Fall aber eben eine nette Weiterleitung

Besonders toll wäre dieses Szenario, wenn mal wer ein paar Server von Google-Analytics hackt. Dann könnte ein Angreifer quasi das halbe Internet manipulieren und auf eigene Server umleiten. Schließlich haben millionen von Webseiten das Google-Analytics-JavaScript bei sich eingebunden. Unter Anderem auch diverse von mir betriebene Projekte. Bei Google sollte der Sicherheitsstandard zwar entsprechend hoch sein, generell ist dies aber kein netter Gedanke. Zumal ja nichtmal Google schuld sein muss, schließlich würde DNS-Spoofing auch schon reichen, um google-analytics.com umzuleiten ...

Nachdem ich mich die Tage mit einer Nasennebenhöhlenentzündung rumgeplagt habe bzw. immernoch rumplage (daher meine geringer Aktivität hier) ist von Tchibo.de bereits die nächste kompetente Antwort auf die von mir entdeckte XSS-Lücke eingetroffen. Schockierenderweise sah die Antwort diesmal so aus:

Sehr geehrter Herr Klikics,
[ ... ]
Das Problem ist bekannt. Soweit uns bekannt ist, wird dies bei den wichtigen Seiten unterbunden.
Sie können uns gerne einen Tipp schicken, damit wir weiter Verbesserungen machen können.

Ist nicht wahr, oder? Entweder man unterbindet XSS konsequent oder man lässt es. Schließlich spielt es im Falle eines Missbrauchs doch keine Rolle, wo genau der User seine Kreditkartennummer an den Phisher übermittelt. Als "Tipp" habe ich diesmal geantwortet, dass man HTML-Tags prinzipiell aus Userangaben entfernen sollte, vor Allem wenn man die Userangaben nach dem Absenden eines Formulares noch einmal anzeigt. Mal schauen ob ich erneut eine so tolle Antwort erhalte.

Im Grunde hätte ich die Lücke (die natürlich immernoch besteht) vielleicht lieber aktiv nutzen sollen, anstatt mich mit dem Support rumzuschlagen. Für eine Senseo-Maschine z.B. für 29,99 EUR hätten doch sicher jede Menge Leute ihre Kreditkartennummer an mich übermittelt, oder?

Erstmal wünsche ich allen Lesern ein gesundes Neues und viel Spaß in 2008 (lieber spät als nie, bin die Tage erst aus dem Skiurlaub eingetroffen ). Natürlich wird das Admin-Blog auch 2008 weiterleben und euch mit mehr oder weniger tollem Tech-Talk erfreuen. Kommentare/Anregungen sind natürlich weiterhin erwünscht, gern helfe ich bei Fragen auch weiterhin per Mail weiter oder gebe Tipps zu meinen Artikeln.

Als erstes technisches Highlight dieses Jahr habe ich als neues Firmenhandy das "QBOWL" von Samsung bekommen, welches von Vodafone als Konkurrent für das iPhone ins Rennen geschickt wurde (siehe Bild). Ein iPhone kommt ja bekanntlich aus bereits erklärten Gründen für mich als Telefon nicht in Frage, und mein altes Nokia E61 hat mich dann doch auf Dauer genervt, vor Allem was die Ausmaße anging. Einige bezeichnen das gute Stück treffenderweise als Eiskratzer ;), aber der Funktionsumfang und die Bedienung als "Business-Handy" waren dennoch einwandfrei. Ich war also dementsprechend gespannt und ein wenig skeptisch, ob das QBOWL meine Ansprüche erfüllen kann.

Nachdem das gute Stück für 399,90 EUR in einem Vodafone-Laden ohne Vertrag, Simlock oder Netlock erworben wurde - ich will ja schließlich meine O2-Karte samt UMTS-Datentarif behalten - machte ich mich gleich ans Testen. Der Lieferumfang kann sich eigentlich sehen lassen, so fanden sich in der Packung eine 4 GByte Micro-SD-Karte samt Adapter auf SD und ein SD-USB-Kartenleser sowie Kopfhörer und offenbar eine Kabel-Freisprecheinheit, die ich allerdings noch nicht getestet habe. Das Telefon selbst wirkt technisch hochwertig, wenn auch das iPhone ein wenig "geiler" ist, ums mal so zu sagen. Das QBOWL hat auch leider nur eine Displayabdeckung aus Plastik und wird ohne Tasche bzw. Tuch ausgeliefert. Besonders das Tuch vermisst man ein wenig, da das Touch-Display sehr schnell fettig wird. Aber dank eBay sollte ich in Kürze stolzer Besitzer von Tasche+Tuch sein

Nachdem ich meine o2-Karte sowie die Speicherkarte und Akku eingesetzt hatte, konnte es losgehen. Das Vodafone-Branding im Gerät hält sich in Grenzen, man wird nur beim Start sowie im Menü durch den "Vodafone-Live" - Eintrag daran erinnert. Unschöner ist hingegen der Vodafone-Schriftzug oben auf der Vorderseite des Telefons, aber auch daran gewöhnt man sich (sieht man auf dem Bild hier nicht). Die Bedienung ist weitestgehend intuitiv, wenngleich man sich manchmal ein wenig mehr CPU-Power wünschen würde, was die Geschwindigkeit der Eingaben mit dem Finger angeht. Teilweise muss man kurz warten, bis etwas losgeht. Im Großen und Ganzen kann man das Gerät aber flüssig bedienen und nach einer Weile macht es sogar richtigen Spaß. Das Display erscheint mir sehr gut ablesbar und farbenfroh, die Kamera ist wohl eher durchschnittlich trotz ihrer 3 MP. Darauf lege ich aber sowieso keinen Wert. Wichtiger sind für mich ein guter Browser sowie Mailclient.

Nachdem ich die Vodafone-Profile durch den UMTS-Zugang von o2 ersetzt hatte, kam ich problemlos ins Netz. Die Geschwindigkeit via UMTS ist sehr angenehm, HSDPA ist via o2 hier in Dresden leider noch nicht verfügbar. Nicht gerade ein Grund, den Vertrag zu verlängern oder o2 weiterzuempfehlen, aber vielleicht tut sich da ja was dieses Jahr. Zu meiner Freude funktioniert das "eingebaute" Google-Maps ebenfalls problemlos mit o2, nur der modifizierte Opera-Mini verabschiedet sich permanent mit Timeouts. Ich benutze allerdings lieber den eingebauten Browser (NetFront 3.4 von ACCESS), der problemlos funktioniert. Die Seiten werden zügig geladen und ordentlich dargestellt. Der Mailclient ist ein wenig unausgereift, so gibt es z.B. nur einen globalen Posteingang für alle Konten. Auch TLS-Auth für SMTP wird offenbar nicht unterstützt, so dass ich auf meinem Postfix-Mailserver smtpd_tls_auth_only=yes auskommentieren musste. Etwas unschön und nicht sehr zeitgemäß - das Nokia hatte damit keinerlei Probleme. SSL wird hingegen unterstützt. Sinnlos finde ich die Begrenzung von Mails auf 2048 Byte - das reicht zwar i.d.R. aus, aber wozu eine solch unsinnige Einschränkung? Nervig ist auch, dass der Mailclient keine RFC-konformen Mails verschicken kann. Man kann also immer damit rechnen, dass die versendeten Mails im Spamassassin auf der Empfängerseite hängen bleiben. Hier mal ein Spamreport für eine normale Mail vom QBOWL aus:

X-Spam-Status: No, score=2.4 tagged_above=-1000 required=6.31
tests=[BAYES_05=-1.11, FORGED_RCVD_HELO=0.135,
FROM_EXCESS_BASE64=1.309, MIME_BASE64_NO_NAME=0.224,
MSGID_FROM_MTA_ID=1.393, SUBJECT_EXCESS_BASE64=0.449]

Der MP3-Player ist einwandfrei und auch die mitgelieferten Kopfhörer klingen nicht direkt schlecht, soweit ich das nach einem Test mit den mitgelieferten Files sagen kann. Auf der SD-Karte befanden sich nämlich 100 Songs und einige Musikvideos. Am Linux-PC wurde das Telefon als Massenspeicher via USB erkannt, so dass man problemlos weitere Songs auf die Speicherkarte laden kann. Bluetooth funktionierte ebenfalls problemlos (sowohl Filetransfer als auch Freisprechen im Auto). Die Tastatur funktioniert nach einer Weile auch richtig gut, so dass man schnell ein paar Mails tippen kann und problemlos im Web agiert. Auch der automatische Mailabruf im vorgegebenen Intervall funktioniert ebenfalls zuverlässig, leider vermisse aber die Abrufzeit-Option vom E61 (da hatte ich Mo-Fr von 8-22 Uhr), denn zwischen 22 und 8 Uhr will ich beispielsweise nicht bei jeder neuen Mail einen Alarm hören sondern schlafen. Ein 24/7 - Abruf von Mails macht für mich keinen Sinn, so dass ich diese Option wohl deaktivieren werde.

Ich finde dennoch, dass das QBOWL trotz einiger Mägel durchaus empfehlenswert ist, sowohl optisch als auch technisch. Wunder darf man natürlich nicht erwarten, aber bis auf WLAN ist eigentlich alles dran, was man von einem modernen Handy erwartet. Und das kann man vom iPhone nicht wirklich behaupten, oder? Das für mich perfekte Handy, sei es nun als Smartphone oder Sonstwas, gibt es aber leider immernoch nicht. Mein damaliger Palm Treo 650/680 war zwar schon recht nah dran, ist aber heute einfach nicht mehr zeitgemäß. So hoffe ich, dass das QBOWL mir gute Dienste leistet, bis sich mal jemand ein Herz fasst und mir das perfekte Handy entwickelt. Denn so weltfremd sind meine Ansprüche an ein solches Gerät sicher nicht ...