Apples Safari ins Unvollkommene

Es war der Knaller am Ende von Steve Jobs' Keynote anlässlich der Apple-Anwenderkonferenz WWDC: Apple veröffentlicht seinen Browser Safari jetzt auch für Windows. Angeblich ist Safari schneller als alle Windows-Konkurrenten. Wer neugierig geworden ist und den Browser ausprobieren will, sollte aber warten. Es lohnt sich noch nicht.

Das Programm zeigte sich in unserem Kurztest unter Windows XP noch recht instabil. Versucht man zum Beispiel, die Lesezeichenverwaltung aufzurufen, stürzt Safari ab. Einen Crash erlebt auch, wer versucht, über die Google-Eingabemaske eine Abfrage abzusetzen. Offensichtlich kann Safari auf einem nicht-englischsprachigen Windows weder fett noch kursiv ausgezeichneten Text anzeigen. Die Überschrift dieser Meldung würde man also mit Safari für Windows zum Beispiel nicht angezeigt bekommen – ein Lokalisierungsproblem der Software, wie auch die Tests in der c't-Redaktion ergaben, denn auf einer englischsprachigen Windows-Ausgabe zeigte Safari das Phänomen nicht. Insgesamt aber hat Safari sowohl unter englisch- als auch deutschsprachigem Windows massive Darstellungsprobleme mit diversen Webseiten.

An vielen weiteren Stellen erweist sich zusätzlich, dass mit der heißen Nadel gestrickt wurde. Wer sich zum Beispiel über die Lizenz informieren will, erhält die wenig ermutigende Meldung "Safari is missing important resources and should be reinstalled.". Versucht man, die Hilfe aufzurufen, passiert nichts.

Solche Probleme sind ärgerlich, richtig gefährlich machen den Browser etliche Sicherheitslücken. Nur zwei Stunden will der Sicherheitsexperte Thor Larholm gebraucht haben, um einen Fehler in Safari so auszunutzen, dass er ein beliebiges Programm starten kann. Angesichts der Tatsache, dass Apple mit der Sicherheit des Mac-Browsers wirbt, ist besonders erschreckend, wie einfach der Fehler ist: Über einen IFrame öffnet Larholm eine URL der Form

myprotocol://someserver.com/some"[Leerzeichen]argument

Das Anführungszeichen mit dem anschließenden Leerzeichen schleust einen zusätzlichen Parameter in den Programmaufruf des Protokoll-Handlers ein. Mit ein wenig Feinschliff kann eine Web-Seite damit umgehend eigene Befehle auf dem System ihrer Besucher starten.

Andere Sicherheitsexperten wie Aviv Raff und David Maynor haben ebenfalls bereits ihre Fuzzing-Tools angeworfen und haben eine ganze Reihe von Fehlern gefunden, die zumindest zum Absturz des Browsers führen.

Safari unter Windows ist grundsätzlich eine gute Nachricht. Web-Designern steht jetzt auch unter Windows ein WebKit-Browser für den Test ihrer Seiten Verfügung, Anwendern ein weiterer komfortabler Browser mit RSS-Reader zur Wahl. Es wäre allerdings fair von Apple gewesen, den Browser nicht als Beta-Version zu klassifizieren, also als Software, die so stabil ist, dass man sie einer breiten Anwenderschaft zum Test zumuten kann. Safari kann in der derzeitigen Version allenfalls als Alpha-Release durchgehen, also als Anwendung, die höchstens einer eingeschränkten Testnutzerschaft zukommen sollte.

Zu Apples World Wide Developers Conference 2007 siehe auch:

• Apple unterwandert den Windows-Schreibtisch
• Apple portiert Safari für Windows
• Apples "Leopard" bringt zehn große neue Funktionen

(jo)