Dropbox apanhado a "contornar" o sistema de permissões no Mac OS

[Rui Carlos]

Citação

If you have Dropbox installed, take a look at System Preferences > Security & Privacy > Accessibility tab (see screenshot above). Notice something? Ever wondered how it got in there? Do you think you might have put that in there yourself after Dropbox asked you for permission to control the computer?

No, I can assure you that your memory isn’t faulty. You don’t remember doing that because Dropbox never presented this dialog to you, as it should have:

[...]

Fonte: http://applehelpwriter.com/2016/07/28/revealing-dropboxs-dirty-little-security-hack/

Basicamente, o Dropbox pede permissões de administrador durante a instalação, que usa para conceder a ele próprio permissões para fazer o que quiser no futuro.

Mais detalhes sobre a forma como o Dropbox abusa das permissões que o utilizador lhe dá durante a instalação: http://applehelpwriter.com/2016/08/29/discovering-how-dropbox-hacks-your-mac/

[pwseo]

57 minutos atrás, Rui Carlos disse:

Basicamente, o Dropbox pede permissões de administrador durante a instalação, que usa para conceder a ele próprio permissões para fazer o que quiser no futuro.

Bem... é uma jogada bem suja vinda de um programa que é tão utilizado por tanta gente.

[Rui Carlos]

Abusaram da confiança que os utilizadores depositaram neles (e como o episódio recente dos dados roubados, fica cada vez mais claro que não merecem grande confiança).  Falta saber se isto se deveu a preguiça/incompetência (ter permissões para tudo é sempre a forma mais fácil de pôr as coisas a funcionar), ou se foi mesmo só abuso para garantir que poderiam fazer o que quisessem no futuro.

Uma outra questão em aberto é o que é que a Apple vai fazer.  Tinham aqui mais uma boa oportunidade de mostrar que o sistema de assinaturas das aplicação serve para alguma coisa, anulando o certificado da Dropbox.  Ia ser divertido ver a explicação que eles iam dar aos utilizadores que questionassem a falta de assinatura.  Infelizmente parece que a Apple não está a ligar muito ao assunto.

[pwseo]

18 minutos atrás, Rui Carlos disse:

Abusaram da confiança que os utilizadores depositaram neles (e como o episódio recente dos dados roubados, fica cada vez mais claro que não merecem grande confiança).

Por acaso é estranho como é que não se falou mais desse «pequeno incidente».

 

18 minutos atrás, Rui Carlos disse:

Tinham aqui mais uma boa oportunidade de mostrar que o sistema de assinaturas das aplicação serve para alguma coisa, anulando o certificado da Dropbox.

Concordo. Se têm ao seu dispor ferramentas dessas (eu desconhecia, utilizo Ubuntu), então deveriam ser rigorosos com elas. Não faz sentido oferecer funcionalidades destinadas a atrair utilizadores tech- e security-savvy para depois se ser laxo e pouco rigoroso na sua utilização.

@Rui Carlos, tens alguma alternativa em mente?

[Rui Carlos]

17 minutos atrás, pwseo disse:

@Rui Carlos, tens alguma alternativa em mente?

Referes-te a um outro serviço?

Para já, comecei por reverter as permissões que o Dropbox usava a mais (o serviço parece continuar a funcionar devidamente), até porque à partida terei que continuar a usá-lo (o Dropbox é praticamente o standard para partilha de ficheiros).

Provavelmente quando passar para o MacOS Sierra vou passar a usar o iCloud maioritariamente, e até tirar partido da optimização do iCloud de ter ficheiros que são listados, mas só faz download quando os abrir (algo semelhante ao Dropbox em telemóveis).  O Dropbox ficará só para compatibilidade com Linux e interoperabilidade com outras pessoas.

[thoga31]

O Meo Cloud também é uma alternativa, se tivermos uma preocupação acerca de plataformas. Tenho no Windows, Windows 10 Mobile, Xubuntu e iOS 9.

Pelo que percebi, esta situação não afecta o iOS, certo?

[Rui Carlos]

O MEO Cloud não me é muito atrativo.  Basicamente nunca tive ninguém a partilhar ficheiros comigo por lá, pelo que a única vantagem seria o ser multi-plataforma.  Mas se não usar partilha, posso usar um serviço de cloud pessoal que instalo na minha VPS, que tem mais massa crítica à volta do que o MEO Cloud.

Quanto ao afectar o iOS, pelo menos esta questão em particular não pode afectar o iOS, pois lá nem que o utilizador queira pode dar acesso de root a uma aplicação.

[apocsantos]

Boa tarde,

Bem a dropbox tal como a meocloud usam oauth, logo pode-se sempre escrever uma app client para qualquer dos serviços e deixar de ter de conceder a uma app, tais permissões.

Cordiais cumprimentos,

Apocsantos

[brunuu]

Onedrive é uma boa alternativa, o problema é que é um pouco lento quando uso, para ficheiros mais pesados eu uso o dropbox por acaso.

E o dropbox tem tido alguns problemas nos ultimos tempos, e ainda por cima tem buracos no sistema que causa saida de senhas como já aconteceu antes.

Não tarda faço a minha propria cloud com o raspberry pi :/

Edited September 10, 2016 at 09:11 PM by brunuu

[Rui Carlos]

Aparentemente na próxima versão do MacOS já nem com a password de root vão conseguir contornar o sistema de permissões: http://applehelpwriter.com/2016/09/20/dropbox-hack-blocked-by-apple-in-sierra/