Irmen's blog

Kill IE6! Kill it with fire!

yes Yes YES!!! Google about to end support for IE6.

Eindelijk een major bedrijf dat gewoon keihard zegt F.U. tegen de stakkers die nog IE6 gebruiken. (Ok, ok, Youtube heeft al een paar maanden een waarschuwingsbanner voor mensen die IE6 gebruiken).

IE6:

update: ook maar eens een ie6-warning popup ingebouwd op mijn eigen site. Als je een voorbeeld wilt zien klik dan deze testpagina.

Mijn oude CORBA versus SOAP artikel

Om te voorkomen dat hij kwijt raakt link ik nog maar eens een keer mijn oude CORBA versus SOAP artikel. Dit schreef ik ergens in 2002 omdat ik vond dat SOAP bagger was en alles wat CORBA al had nog een keer aan het uitvinden was maar op een slechtere manier. Mijn mening is wel iets genuanceerder tegenwoordig, maar ik blijf een aversie hebben tegen SOAP.

Anyway, hier is het artikel: CORBA_vs_SOAP.odt (Open Document Format). Het staat ook als PDF op de site van de Object Management Group zelf.

XML Billion Laughs attack, huidige stand van zaken

Ik was jaren geleden al eens aan het kijken naar de zogenaamde billion laughs xml attack, waarbij een doodsimpel xml bestandje van een paar honderd bytes zo'n beetje alle XML parsers (en web browsers!) op hun knieen bracht (enorm geheugengebruik en 100% cpu usage). Dit vanwege een exponentiele entity reference expansie. Meer info op Wikipedia: Billion Laughs.

Ik was nieuwsgierig of er tegenwoordig al wat vangnetten zijn geplaatst voor dit soort attacks, dus ik ging mijn million laughs testbestandje eens openen in een aantal web browsers. De resultaten zijn hoopvol! Waar een paar jaar geleden alle web browsers finaal onderuit gingen, zijn de resultaten nu ongeveer als volgt:

• Firefox 3.6: geeft foutboodschap 'XML Parsing Error: recursive entity reference'.
• Safari 4: geeft foutboodschap 'error on line 29 at column 18: Detected an entity reference loop'.
• Chrome: zelfde foutmelding als Safari (logisch, want gebruikt ook Webkit engine).
• Internet Exporer 8: gaat vrolijk het xml bestand proberen te parsen, maar dat duurt even . Gelukkig is mijn testbestand slechts 'million laughs' en niet 'billion laughs' want anders had ik geen resultaat gehad na 30 seconden en 500 Mb geheugen gebruik.
• Oxygen XML Editor 10: leest het probleemloos in maar zodra ik op validate klik gaat het mis Even geduld hebben en dan geeft hij wel netjes antwoord maar het kost 30 seconden en 1Gb geheugen.
• Java6: score 2/4 (DOM en SAX ok, XMLReader crash, STAX StreamReader faalt)
• Python2.6: score 1/4 (alleen lxml is ok)
• .NET 3.5: score 1/1 (te beschermen met XmlReaderSettings, zie update comment)

Voor meer info, zie de read more.