Newsgroup: it.comp.os.dibattiti
Titolo: MS updates con la sorpresa

http://voices.washingtonpost.com/securityfix/2009/05/microsoft_update_quietly_insta.html
Ciao
Mattia

 
http://voices.washingtonpost.com/securityfix/2009/05/microsoft_update_quietly_insta.html
.net non dovrebbe supportare firefox?

 .net non dovrebbe supportare firefox?
dovrebbe evitare di utilizzare gli update di sicurezza per modificare 
*silenziosamente e senza possibilita' di ritorno* i prodotti della 
concorrenza.
A casa mia, una cosa del genere si chiama trojan.
Poi vab�, hanno aggiustato il tiro... ;-)

 .net non dovrebbe supportare firefox?
Certo, ci mancherebbe. Il fatto è che a casa mia gli aggiornamenti di
sicurezza aggiornano i programmi già esistenti, non installano
silenziosamente altri software che possono influenzare il
funzionamento di programmi concorrenti, di cui è reso difficile la
rimozione, e che possono facilitare l'installazione di programmi dal
browser.
Non è il plugin che contesto, ma il modo con cui è stato rifilato alla
gente.
Ciao
Mattia

 Poi vab�, hanno aggiustato il tiro... ;-)
Il pulsante per la rimozione completa senza dover mettere mano sul
registry? Anche quel limite mi par di capire dipendeva dal sistema
usato da FF, o forse ho capito male?
Sempre dalle risposte nella pagina linkata:
That Microsoft disabled the "uninstall" button isn't true.
The story is that Addons can be installed via registration and there is no other way tor automatically install such addons.
Firefox can not uninstall such Addons because it doesn't know how to
do that and that is the reason that the uninstall button is disabled
in such cases.

 sicurezza 
Vedi la mia risposta a Naos

 Avrei gradito una maggiore comunicazione da parte di FF
Anzi forse neanche questo, perch� mi pare che FF avvisi in genere al
riavvio quando sono state compiute operazioni sugli add-ons, quindi
forse ha anche avvisato (ora sinceramente non ricordo).

 usato da FF, o forse ho capito male?
Se fosse un limite di FF com'è che poi l'hanno sistemato? Com'è che ce
non capita con tutte le estensioni?
Ciao
Mattia

 non capita con tutte le estensioni?
Intanto non si tratta di un'estensione installata manualmente ma
automaticamente dall'applicazione. A quanto capisco, FF consente alle
applicazioni di installare add-ons. Forse � questa la vera sorpresa?
;-)

 applicazioni di installare add-ons. Forse è questa la vera sorpresa?
Forse è una sorpresa per te. Che fosse possibile lo sapevo già da un
pezzo. E' da almeno un anno che Ubuntu propone alcune estensioni per
FF direttamente nell'elenco delle applicazioni disponibili da installa/
rimuovi. Inoltre le estensioni risiedono all'interno del profilo
utente. Ogni volta che reinstallo Linux riuso la stessa /home e mi
ritrovo sempre tutte le estensioni che avevo precedentemente
installato. L'unica cosa che FF fa è controllare che siano compatibili
appena si riavvia. Si tratta di mettere i file giusti nel punto giusto
e probabilmente aggiornare qualche file di configurazione. Nella prima
versione dell'update non ci riuscivano, ora si. Il difetto dovrebbe
essere di FF?
Ciao
Mattia

 pezzo. E' da almeno un anno che Ubuntu 
Si parlava di Win. In Ubuntu il package manager centralizzato installa
e upgrada tutte le applicazioni, non solo FF (e non mi pare
costituisca scandalo, anzi � per me una feature gradita).
Ad ogni modo, tornando al discorso, � FF che consente alle
applicazioni win di installare propri add-ons.
Se questo non piace, protesterei con FF.


 Se questo non piace, protesterei con FF.
Ripeto che non è l'add-on il problema, ma come è stato rifilato. Che
applicazioni terze possano aggiungere un add-on va benissimo, come
andrebbe benissimo che lo faccia un service pack. Ma questo dovrebbe
avvenire previo esplicito consenso dell'utente, che dovrebbe essere
informato, e l'onere di questa informazione spettava a MS. Questo è
ciò che avviene regolarmente con altre applicazioni. Quanti programmi
ti propongono l'installazione della google-tool-bar? Tanti, ma tutti
finora ti chiedono la conferma. Se l'applicazione pincopalla ti
installasse toolbar ecc in IE senza avvisarti, te la prenderesti con
IE o con pincopalla?
Ciao
Mattia

 IE o con pincopalla?
Con entrambi :)

 in such cases.
Quindi seguendo questa logica, uno struzzo non sa volare anche se e' un 
uccello, quindi se lo butto giu' da una montagna e si spantega al suolo 
e' colpa sua perch� non sa volare.
Ma ti pare? :-)

 mancanza.
http://blogs.msdn.com/brada/archive/2009/02/27/uninstalling-the-clickonce-support-for-firefox.aspx
A couple of years ago we heard clear feedback from folks that they
wanted to enable a very clean experience with launching a ClickOnce
app from FireFox.  James Dobson  published FFClickOnce and got very
good reviews, but we had many customers that wanted ClickOnce support
for Firefox built into the framework… so in .NET Framework 3.5 SP1 we
added ClickOnce support for Firefox!     This made ClickOnce apps
much more accessible to a wide range of customers.    
We added this support at the machine level in order to enable the
feature for all users on the machine.  Seems reasonable right?  Well,
turns out that enabling this functionality at the machine level,
rather than at the user level means that the "Uninstall" button is
grayed out in the Firefox Add-ons menu because standard users are not
permitted to uninstall machine-level components.   
[...cut...]

 computer.
Davvero? C'è proprio scritto che possono mettere plug-in in tutti i
browser senza prima chiedere alcun consenso né dare alcuna
informazione? E senza che questo sia disinstallabile, a meno di
mettere mani al registro di sistema?
Ciao
Mattia

 browser senza prima chiedere alcun consenso 
Il consenso purtroppo glielo dai tu autorizzando l'autorizzazione.
E glielo d� FF che (a quanto ho capito) consente ad altre applicazioni
di installare propri add-on.
Come gi� detto, avrei preferito  informazioni pi� esplicite
e dettagliate, la possibilit� di scegliere passo passo e punto per
punto, schermate di conferma di opzioni o feature che potrebbero
non essere desiderate da alcuni utenti (come appunto in questo
caso), ecc. ecc., ma resta il fatto che se tu dai l'OK a
installare un service pack, dai l'OK a installare legittimamente
tutto quello che ci sta dentro, atteso o inatteso che esso sia.
Non si tratta di un trojan perch� il contenuto � esattamente quello
descritto nel nome, appunto un service pack,
descritto pi� nel dettaglio nella documentazione (per quanto imho
questa doveva essere pi� chiara ed esplicita) e non un security
update come erroneamente riportato nell'articolo.
imho e afaik :-)

 java (se ben ricordo). 
E invece, almeno con le ultime versioni, non e` cosi`. Le prove che ho
fatto sono state con la JRE 6u14, Firefox 3 e IE 8. Faccio inoltre
presente che i service pack di Microsoft hanno *sempre* aggiunto
funzionalita` al sistema principale senza mai chiedere nulla all'utente,
siano esse modifiche minori (e.g. il supporto al bluetooth nel sp2 di
XP), siano esse modifiche piu` eclatanti (e.g. il supporto ai
documenti ODF nel sp2 di Office 2007). Infine, non ho seguito il
discorso del link (mi sono fermato ai discorsi fatti da voi), ma Firefox
avverte *sempre* quando una estensione viene aggiunta dal sistema. Prova
ne e` il fatto che dopo aver installato sia Java, sia .NET, mi viene
aperta la finestra delle estensioni che mi notifica che e` stato
aggiunto un nuovo componente. Il problema in tutto questo, semmai, e`
che posso solo disabilitare la nuova estensione, ma non rimuoverla, ed
in questo caso la "colpa" e` di Firefox e non dei sistemi esterni
Enrico

 in questo caso la "colpa" e` di Firefox e non dei sistemi esterni
tuttavia -obiezione che � stata fatta gi� da altri- ora pare che la
cosa sia stata risolta, quindi forse era possibile?

 .NET
Ciò mi ricorda qualcosa...
http://www.soft-land.org/commenti/comm002
-- 
Bye, Lem
Ceterum censeo ISLAM esse delendum
____________________________________________________________________________
Non sprecare i cicli idle della tua CPU: 
http://boinc.berkeley.edu/index.php

 cosa sia stata risolta, quindi forse era possibile?
Se stiamo parlando dell'estensione di Microsoft ok, se stiamo
parlando di Firefox forse e` stata risolta in Firefox 3.5, ma
sicuramente non lo e` in Firefox 3.0
Enrico
[1] In teoria ci sarebbe un modo, ma mi fa abbastanza schifo e quindi
preferisco non citarlo

 documenti ODF nel sp2 di Office 2007).
Sempre e comunque solo funzionalità aggiuntive a prodotti MS. Il punto
della questione è questo: è giusto che MS aggiunga plug-in a programmi
di terze parti, suoi concorrenti, che aggiungono funzionalità
potenzialmente pericolose, senza chiedere l'esplicito consenso
dell'utente? Tra l'altro, come in questo caso, senza nemmeno curarsi
che tale plug-in sia disinstallabile se risultasse non gradito?
Finora ho sempre pensato male di tutte quelle applicazioni che cercano
di installarti la google-tool-bar, anche se hanno l'accortezza di
chiedertelo prima. Figurati una cosa del genere.
Ciao
Mattia

 di terze parti, suoi concorrenti, 
Parliamo in ogni caso di piattaforme e browser che *tu* hai installato
e decidi di usare sulla tua macchina. Una piattaforma come java o .net
� per sua natura un supporto ad altri programmi, browser compresi. 
E' un po' come se tu installassi un driver audio e poi non
volessi che fosse disponibile quando ascolti suoni durante la
navigazione, o che non fosse disponibile per programmi di altre
software house.
Il punto per me, nel caso del supporto ClickOnce, non � di
legittimit�, ma di informazione poco chiara e dettagliata, e di
impostazioni di default che avrei *preferito* Disabled.

 che tale plug-in sia disinstallabile se risultasse non gradito?
Java si comporta allo stesso identico modo. A questo punto puntiamo il
dito anche contro Sun/Oracle oppure, come al solito, usiamo due pesi e
due misure[1]?
Enrico
[1] si, questa e` volutamente polemica

 [1] si, questa e` volutamente polemica
ci sono due differenze:
Innanzi tutto il fatto che il plugin java si installi nei browser è noto 
da tempo, mentre quella del .net framework è una novità che andava 
segnalata.
MA SOPRATTUTTO: l'esecuzione di applet java si può disabilitare sia in 
firefox che in IE che negli altri browser, mentre questo .net non si 
poteva disabilitare. Questo fatto tra l'altro è ciò che ha giustamente 
scatenato la polemica.

 scatenato la polemica.
Immagino che intendi disinstallare, perch� disabilitare si pu� fare
anche con l'addon di .net, con l'apposito pulsante. 
Come faccio a disinstallare (non solo disabilitare) il supporto java
da FF, dall'interno di FF? Nelle preferenza di FF trovo solo una
casella del tipo Enable/Disable (peraltro gi� selezionata a Enable
di default, se non erro), ma non trovo un Uninstall.

Enrico C ha scritto:

java se lo vuoi disinstallare lo disinistalli, se lo vuoi disabilitare 
lo disabiliti, ed � un plugin, non una extension che sarcazzo cosa va a 
pastrugnare dentro firefox.

 pastrugnare dentro firefox
plugin o add-on fa una grande differenza?

 segnalata.
Segnalata come? Con un messaggio durante la fase di installazione? E
perche`, visto che nemmeno Java lo fa?
Enrico

 pastrugnare dentro firefox.
Ok, questo mi conferma che come al solito si stanno utilizzando due pesi
e due misure ma che, soprattutto, non si sa di cosa si sta parlando
Enrico

 due misure[1]?
1. Sun/Oracle non producono browser, pertanto FF non è un prodotto
loro concorrente. MS invece produce IE e quindi FF è un prodotto
concorrente. Mi sembrava chiaro che la mia perplessità fosse legata a
questo. Il discorso java quindi è diverso, anche se ha funzionalità
simili al .net.
2. Sun ed Oracle non mi sembra siano state portate in tribunale per
abuso di posizione dominante nell'ambito dei browser né mi sembra sia
mai stata accusata di schiacciare i concorrenti in questo mercato.
Forse per il punto 1.
3. MS si è guadagnata tutta la diffidenza che provo nei suoi
confronti. Non si tratta di dare un peso ed una misura diversa alle
cose, semplicemente di tenere in considerazione tutti gli aspetti.
Ciao
Mattia

 confronti. 
Insomma, alla fine viene fuori che le motivazioni non sono tecniche 
ma "politiche", con un retropensiero secondo cui se � ms allora �
male. Beh, se la pensi cos�, non usare Windows e non installarci .net,
e ti togli il pensiero. E' una scelta assolutamente legittima. Per� il
discorso riguardava utenti di Windows.
Secondo me, il discorso dovrebbe rimanere nella sua concretezza e
specificit�, e le obiezioni da fare alla procedura di installazione di
clickonce .net su ff sono semmai quelle che ho gi� detto e che non
ripeto.

 discorso riguardava utenti di Windows.
Ed io di utenti Windows parlavo. Molte polemiche sono venute proprio
da loro e lascio perdere le motivazioni per cui i tuoi consigli per
togliermi il pensiero siano sbagliati. Il mio discorso riguarda la
guerra tra browser e la possibilità di MS di mettere i bastoni fra le
ruote ai propri concorrenti. Non è un discorso tecnico né politico o
filosofico, ma di mercato. Finora MS ha fatto di tutto per penalizzare
i propri concorrenti, quindi la diffidenza riguargo a plugin
installati su FF mi sembra legittima. Imho non dovrebbe mettere le
mani su programmi concorrenti senza chiedere il consenso o permettere
di eliminare facilmente i plugin.
Se poi per te MS può fare quello che gli pare...
Ciao
Mattia

 Finora MS ha fatto di tutto per penalizzare i propri concorrenti,
Non supportandoli. Ora invece che li supporta... :D
Io invece gradirei da *tutti*, non solo .net ma anche java, di non
installarsi come *enabled* di default, su nessun browser

 Non supportandoli. Ora invece che li supporta... :D
Oppure supportandoli male, introducendo falle, o con plugin che ne
rallentano o incasinano il funzionamento. Ci sono tanti modi per
azzoppare la concorrenza, e non credo che MS ne escluda alcuno a
priori. Al massimo ci prova e se le va male torna sui suoi passi.
Motivo per cui imho è bene tenere alta la guardia.
Ciao
Mattia

 Motivo per cui imho � bene tenere alta la guardia.
Chi pensa che ms sia un'associazione a delinquere o gi� di l� farebbe
a non usare il sistema operativo windows, n� tantomeno installarci
la piattaforma .net. 
Se invece usi windows e .net, non puoi pensare che le applicazioni
che installi su quel sistema vivano di vita propria isolata dal resto.
Semmai, rivendicherei il fatto di evitare automatismi preimpostati,
cio� no all'enabled di default, sia in .net sia in java.

 cioè no all'enabled di default, sia in .net sia in java.
Non vedo perché tirare continuamente in ballo java visto che Sun non è
in concorrenza con FF, al contrario di MS.
Ciao
Mattia

Enrico 'Henryx' Bianchi ha scritto:

hai ragione, bisognerebbe protestare anche contro java. :-)

 in concorrenza con FF, al contrario di MS.
java e .net sono due piattaforme che tu, da utente, puoi usare o non
usare. Se le usi, le metti a disposizione delle applicazioni sul tuo
sistema, a prescindere dalla software house che le produce. Per fortuna
� cos�. Non sarebbe bello se una piattaforma supportasse solo
applicazioni "della casa" e non anche quelle di altre aziende
concorrenti. Il problema, semmai, � lasciare alla volont� dell'utente
l'uso o non uso di questo supporto, specie nei browser, dove possono
esserci ragioni di sicurezza e/o di prestazioni per non utilizzarle.
Quindi *gradirei* non trovarmi java enabled di default su FF. Idem per
l'assistente .net di cui si parla in questo thread. 

 perche`, visto che nemmeno Java lo fa?
negli update di windows c'è una breve descrizione di cosa installi, io 
evito sempre di installare la fuffa che non mi interessa, se c'era 
scritto "firefox add-on" io non lo installavo, invece è presentato come 
service pack del .net framework: roba che non ha mai avuto niente a che 
fare con addon/plugin dei browser.
Java si sa dalla notte dei tempi che si va a infilare nei browser: la 
gente lo installa apposta.
Gli utenti si fidano del comportamento di un programma, è lo stesso 
meccanismo con cui i meno avveduti cascano nel tranello dei malware che 
girano su internet.
Da grosse aziende come MS ci si aspetterebbe il rispetto di questa 
fiducia. Erano in buonafede? Può darsi. Ma se non si fa, non si fa.

 plugin o add-on fa una grande differenza?
hai ragione, c'� da protestare anceh contro la sun. :-)

 hai ragione, c'� da protestare anceh contro la sun. :-)
io uso noscript e mi tolgo il pensiero :D

 [...cut...]
Infatti. Un'estensione per singolo utente è molto meglio, rispetta il 
funzionamento standard di Firefox.

 io uso noscript e mi tolgo il pensiero :D
Java e Javascript sono due cose *assai* diverse. La Sun non c'entra con 
Javascript.
BTW, IMHO Noscript � una palla, troppo casino quando vai su nuovi siti.
Preferisco yesscript (funziona al contrario), anche se usando AdBlock in 
pratica mi levo gi� di torno tutti (o quasi) gli script che danno noia.

 all'aggiornamento del .net framework.
Qualsiasi sp conterr� megabyte di "fuffa" o cose che non ti servono.
Stavolta dovevano essere pi� accorti e capire che avrebbero urtato alcune
sensibilit�.

 Java e Javascript sono due cose *assai* diverse.
questo � ovvio, ma se disabiliti js magicamente "spegni" anche java e
flash

> "spegni" anche java e flash
per la precisione, nelle opzioni di noscript puoi decidere se abilitare
o disabilitare  java, flash, silverlight, altri plugin... per le pagine
di cui non hai piena fiducia.

Enrico C ha scritto:

gi�, io l'avevo provato anni fa quand'era uscito, poi sono andato a 
vedere... sostanzialmente fa quello che fa adblock plus, anche se la 
logica di funzionamento � diversa.
Io preferisco adblock, anche se noscript � frutto del sudore di un 
nostro connazionale! :-)
M'� spiaciuto leggere che hanno bisticciato un po' e che si siano 
pestati un po' i piedi, non lo spaevo! :-)

 la piattaforma .net. 
la tua opinione � assai diversa da quella dell'antitrust dell'unione 
europea, che nel corso degli anni ha sempre obbligato microsoft a 
seguire certe regole riguardo a windows: perch� applicando il tuo 
ragionamento, vista la posizione di windows si obbligherebbero gli 
utenti (cittadini) a piegarsi a 90 gradi. Siccome invece siamo in 
democrazia, sono loro che devono andare affanculo, � non � un problema 
ideologico, ma un problema di mercato (difatti se ne occupa l'antitrust) 
e quindi di civilt�.

 la tua opinione � assai diversa da quella dell'antitrust 
MS � stata bacchettata dall'Antitrust, vero, ma questo non vuol dire che
ogni cosa che non ti piace in Windows sia un abuso.
Anzi, nel caso in discussione, � pi� probabile che sarebbe considerato un
abuso il *non* supportare anche FF, che il supportarlo.
Ad ogni modo, c'entra poco con quel che dicevo, e cio� che se si nutre
*completa sfiducia* in MS, la logica conseguenza sarebbe evitare di usare
i suoi prodotti (vabbe', a meno che non sei proprio costretto pistola
alla tempia!).

 l'assistente .net di cui si parla in questo thread.
Ok, ma il discorso non c'entra nulla col punto che avevo sottolineato,
ovvero che MS dovrebbe chiedere il consenso per mettere le mani su
programmi che non sono suoi ma sono in concorrenza con suoi programmi.
Java in questo discorso non centra una fava per le ragioni che ho
esposto. Tra l'altro non ti ho nemmeno dato torto, hai tutte le
ragioni ad attenderti un comportamento diverso da entrambe le
piattaforme. Ma credo sia giustificata una maggiore preoccupazione nei
confronti di MS sia perché va ad influenzare un prodotto concorrente
sia perché in passato proprio nel settore browser è stata più volte
messa sotto torchio dalle autorità antitrust, mentre Sun non ha di
questi problemi.
Ciao
Mattia

 alla tempia!).
Infatti per quanto possibile non uso prodotti MS, ma sai bene che non
è facile svincolarsi dai suoi prodotti, e come detto prima il fatto
che io non li usi non significa che un comportamento scorretto di MS
non mi danneggi indirettamente.
Ciao
Mattia