Newsgroup: it.comp.macintosh
Titolo: Dropbox usa un buco di OSX?!

Pių che Dropbox, il suo nuovo installer (versione 1.6.x). Mi sembra al
quanto strano che lo stesso possa installarsi sostituendo la vecchia
applicazione senza chiedere una password, eppure č cosė. E' anche
comodo, ma se lo stesso sistema lo usa un software malevolo? cosa ne
pensate?
 
-- 
Per contattarmi, togliere -NOSPAM- dall'indirizzo.
To contact me, remove -NOSPAM- from address.

 applicazione senza chiedere una password, eppure č cosě.
 
Forse si installa nella home dell'utente invece che in Aplicazioni.

 Forse si installa nella home dell'utente invece che in Aplicazioni.
No. Va dritto a sostitutire l'applicazione esistente (in
/Applications)... non so per le nuove installazioni.
Questo capita con Mac OS X 10.6.8, non so con altri.


 pensate?
 
In genere se sei admin non devi inserire la password ogni volta che
modifichi la /Application. Con qualsiasi cosa, non solo con Dropbox.
Ti chiede la password se va a mettere roba in directory di sistema.
 
D'altra parte anche se ti chiedesse la password come fai ad essere
sicuro che non stia per installare roba malevola? 
 
Ciao Jack
-- 
Yoda of Borg am I! Assimilated shall you be! Futile resistance is, hmm?


 
Non capisco, gli Installer chiedono la password *SE* ne hanno bisogno 
(v. plugin che vanno a posizionarsi nella library o in altri folder di 
sistema).
Se richiedessero la pwd per installare una applicazione, allora questa 
sarebbe richiesta anche quando si effettua un semplice drag&drop di 
un'App in /Applications.
 
-- 
Flavio
www.flapane.com
 

 sicuro che non stia per installare roba malevola? 
 
Mi ritorna in mente Seneca e il suo noto ...
"Ma chi controlla i controllori ?" :D
 
-- 
// Treat everyone u meet like u want to be treated
        aggiungere un tra per spedire posta

 un'App in /Applications.
 
Infatti probabilmente il programma ha controllato in maniera "furba" se 
aveva i permessi, ad esempio se l'utente con il quale sta girando 
l'upgrade è il proprietario della applicazione Dropbox perché ad esempio 
è lo stesso con cui Dropbox è stato istallato.
In questo caso può aver cambiato solo il contenuto di Dropbox.app quindi 
non serve nemmeno avere il permesso di scrivere in /Applications, 
permesso che comunque un utente amministratore ha.
 
Se avesse usato il sistema dei pkg invece non c'era scampo e doveva 
richiedere l'autenticazione.
 
 
La controprova è semplice, si ritorna a Dropbox 1.4 si cambia il 
proprietario di Dropbox.app e si riesegue l'aggiornamento.

 "Ma chi controlla i controllori ?" :D
 
Era Giovenale. Satire. Sed quis custodiet ipsos custodes?
-- 
Arne Saknussem

 sarebbe richiesta anche quando si effettua un semplice drag&drop
Beh, è un po' diverso... con il drag&drop so cosa metto e dove, e se non
ne ho i permessi, mi viene chiesto i dati di login di un amministratore.
Gli installer di solito chiedono la password dell'utente che sta facendo
l'installazione, anche se questo è amministratore.


 richiedere l'autenticazione.
Infatti, per questo mi è sembrato strano.


 pensate?
 
Il nuovo installer non fa altro che eseguire quello che faresti a mano: se dropbox è aperto lo chiude, poi copia se stesso nella cartella /Application sovrascrivendo la vecchia versione, e poi fa ripartire la copia presente in /Application. Se dovessi fare tutte queste operazioni a mano, non ti verrebbe mai chiesta la password di admin


 
Sarebbe interessante vedere se vengono copiati altri file altrove, oltre 
che l'app in /Applications.
 
-- 
Flavio
www.flapane.com
 

 che l'app in /Applications.
 
apropos opensnoop

 pensate?
 
Evidentemente l'installer si accorge che il demone di Dropbox è già
presente, evidentemente quello stesso demone non è stato aggiornato, e
quindi l'installer sostituisce solo il frontend contenuto in
/Applications (per cui la password non serve).
Se il demone non fosse stato presente, l'installer lo avrebbe installato
e ti avrebbe sicuramente chiesto anche la password.
 
Daniele
 
-- 
 my website: 
www.purrone.net
 - my rock photos: 
www.stargazer.it
 
 my Flickr page: 
http://www.flickr.com/photos/daniele1974/
 
 
 il mio blog sulla Svezia: 
http://unitalianoinsvezia.com
 


Interessante, può tornare utile in futuro.
 
-- 
Flavio
www.flapane.com
 

 Interessante, può tornare utile in futuro.
 
apropos dtrace

 Era Giovenale. Satire. Sed quis custodiet ipsos custodes?
 
Vero. Giovenale ...


 e ti avrebbe sicuramente chiesto anche la password.
Invece no: disinstallato dropbox (cancellata l'applicazione e riavviato,
lasciando comunque le preferenza e la cartella Dropbox) e installato
senza password. L'installer piazza il software in /Applications e lo
lancia direttamente senza chiedere nulla. L'unica domanda l'ha fatta Mac
OS durante l'avvio dell'installer, avvisando che si trattava di un
applicazione scaricata da internet ecc...
Provare per credere ;)


 lancia direttamente senza chiedere nulla. 
 
Il tuo utente probabilmente ha il ruolo di amministratore.

 Provare per credere ;)
 
Allora non c'è demone, ma solo un'applicazione in /Applications che viene
caricata quando il tuo utente è loggato e gira in background. Nessun buco
di sicurezza comunque. :-)
 
Daniele
 
 
 
-- 
http://www.flickr.com/photos/daniele1974/
 
http://unitalianoinsvezia.com
 

 di sicurezza comunque. :-)
 
Non è un demone, gira come applicazione. Però c'è la cartella 
DropboxHelperTools in /Library, se la cancelli poi l'installer chiede la 
password di amministratore.

 lancia direttamente senza chiedere nulla. 
 
In tutto questo discorso non ci hai mai detto che utente usi, perché se il
tuo user ha i diritti di Admin, stiamo discutendo di nulla...
 
-- 
Domenico
http://puce72.blogspot.com
 

 tuo user ha i diritti di Admin, stiamo discutendo di nulla...
Sě, uso un utente Amministratore... ma nonostante questo gli installer
di solito chiedono una password per installare dei software.
 
-- 
Per rispondere, togliere -NOSPAM- dall'indirizzo.

 pensate?
 
Ci ho fatto caso stasera (non ci avevo pensato prima): tutte le App che
ti propongono un update dopo che gli hai dato l'OK (non la pwd)
scaricano l'aggiornamento e poi ti chiedono di clieccare su un Installa
e Riavvia. E tutte senza chiedere alcuna PWD.
Quindi nulla di strano direi....
 
--- news://
freenews.netfront.net/
 - complaints: 
ne...@netfront.net
 ---

 Quindi nulla di strano direi....
Con la differenza che sono loro stesse a scaricare l'update... il che
dovrebbe garantire che l'update non sia farlocco. Il nuovo installer di
Dropbox è un applicazione che ti scarichi tu, e che potresti ricevere
anche tramite vie traverese... comunque tutto sommato la procedura è
comoda e veloce, e probabilmente non comporta più rischi delle altre, è
che mi è sembrata strana rispetto agli installer classici.


 Sì, uso un utente Amministratore... 
 
Secondo me, in tal caso, non c'è nulla di strano.
 
Ciao
 
-- 
Domenico
http://puce72.blogspot.com
 

 che mi è sembrata strana rispetto agli installer classici.
 
Scusa, forse ho perso un pezzo: non si stava parlando dell'aggiornamento
dell'app di dropbox?!?!
Non dirmi che non ho proprio capito un cazzo!!!!
:-S
 
 
-- 
P@olo

 Non dirmi che non ho proprio capito un cazzo!!!!
No, perché? Ho appena scritto "Il nuovo installer di Dropbox...",
confrontandolo con altri installer di che vengono scaricati manualmente
sul computer, ed evvidenziando che c'è una differenza nella procedura di
aggiornamento. Tra l'altro ho appena aggiornato NeoOffice e Glims... il
primo viene anche scaricato tramite il programma stesso, e comunque
entrambi mi chiedono la password per completare l'aggiornamento.


 Secondo me, in tal caso, non c'è nulla di strano.
Come scritto appena sotto,  ho appena aggiornato NeoOffice e Glims...
entrambi mi chiedono la password per completare l'aggiornamento; che poi
sia superfluo può essere, ma mi è sembrata strana la procedura di
Dropbox perché mi sembra che tutti gli altri installer che vengono
scaricati manualmente sul computer chiedano la password.


 scaricati manualmente sul computer chiedano la password.
 
Ero curioso, quindi ho scaricato dropbox… ma dov'e' l'installazione è 
un programma da copiare nella cartella applicazioni ? Mi son perso 
qualcosa per strada ?
 
-- 
Saluti
 
Max
 
http://blog.wegolandweb.com
 
 

 per strada ?
Dalla versione 1.6 ha un installer... prima si installava con Drag&Drop.


 Dalla versione 1.6 ha un installer... prima si installava con Drag&Drop.
 
Ma parliamo della stessa cosa, poi è Lunedi mattina posso essere rinco io…
 
https://www.dropbox.com/downloading?os=mac
 


 scaricati manualmente sul computer chiedano la password.
 
AFAIK e AFAIR, DropBox va a toccare solo la cartella "Applicazioni", e se
sei loggato come amministratore non ti serve password per andare a toccare
quella cartella.
Forse NeoOffice va a toccare anche altro...
 
Piuttosto, mi sono sempre chiesto, se un malware finge (con una finestra
che simula quella di sistema) di chiederti la password per installarsi, e
invece piglia quella password e la manda ad un server remoto, tu come te ne
accorgi?
 
-- 
Domenico
http://puce72.blogspot.com
 

 accorgi?
Con LittleSnitch ;P
Comunque hai ragione, anche la richiesta di password pu� essere di per
s� un pericolo.


 Ma parliamo della stessa cosa, poi � Lunedi mattina posso essere rinco io...
Quella procedura � relativa alle versioni pre 1.6... che tra l'altro non
capisco perch� dal tuo link si scarichi ancora la 1.6 e basta, mentre
tramite MacUpdate ho gi� scaricato ed installato la 1.6.2. Comunque se
apri il DMG che scarichi dal tuo link, ti dice di fare un doppio click
sull'applicazione contenuta (che ovviamente � un installer) e non di
draggarla nelle Applicazioni


 draggarla nelle Applicazioni
 
A me dice di draggare l'applicazione !!!!! Non è per nulla un installer.


 A me dice di draggare l'applicazione !!!!! Non � per nulla un installer.
Ecchecaz... appena riscaricata dal tuo link, e se apro il DMG ho questa
finestra:
<
https://dl.dropbox.com/u/4228522/Schermata%202012-11-26%20a%2012.31.02
.
png>
Qualcun'altro pu� confermarmi questa versione?!



che ha l'installer nuovo!
 
Ciao Jack
-- 
Yoda of Borg am I! Assimilated shall you be! Futile resistance is, hmm?

 che ha l'installer nuovo!
No, anche la 1.6 ha... almeno per me (non so che dire) il nuovo
installer. Lo screenshot l'ho fatto proprio dal DMG scricato dal link
postato da IceCreamMan


 No, perché? Ho appena scritto "Il nuovo installer di Dropbox...",
E invece si: ora ho capito cosa mi sfuggisse. 
Ero convinto che Dropbox avesse il classico meccanismo di update. E invece
no, te lo dei scaricare!!!
Non me ne ero accorto, ero fermo alla 1.4.qualcosa!
 
Caspita, ma nemmeno un alert che è disponibile un update!!!
 
 
 
-- 
P@olo

 no, te lo dei scaricare!!!
 
in teoria dovrebbe aggiornarsi da solo.


 in teoria dovrebbe aggiornarsi da solo.
e quando mai?! ... sempre aggiornato a manella...


 Ciao Jack
 
Sul mio MacBook è rimasto alla teoria....
Ho scaricato stasera la 1.6.0 dal sito di dropbox. 
Ora vorrei capire come sia possibile che MacUpdate, come scritto da
qualcuno abbia la 1.6.2 e il sito ufficiale no...
È comunque immagino che se la 1.6.0 funziona correttamente e tu hai ragione
dovrei a breve trovare la 1.6.2 aggiornata automaticamente. 
Non è che lo faccia solo al riavvio o robe del genere??
 
 
-- 
P@olo

 Non è che lo faccia solo al riavvio o robe del genere??
 
boh, puo' darsi.
Io so solo che alla 1.6.0 sui miei pc si e' aggiornato da solo.



Non mi preoccuperň piů di aggiornare dropbox, ma il fatto che la cosa
non si possa abilitare/disabilitare, mi crea un qualche prurito... :-/


 non si possa abilitare/disabilitare, mi crea un qualche prurito... :-/
 
Boh, ci farò caso. Come dicevo ero fermo alla 1.4. Ora che sono passato a
mano alla 1.6 controllerò se la cosa va avanti da sé. 
-- 
P@olo

 non si possa abilitare/disabilitare, mi crea un qualche prurito... :-/
 
mah, a me non da' fastidio, pero' potrebbero avvertire, almeno quando
aggiungono features nuove.



Come detto nell'altro post "dropbox fa le bizze", l'app inspiegabilmente
non funzionava più. Nella disperazione, ho recuperato da Time Machine una
vecchia versione (1.2.x) credendo che il problema fosse legato alla 1.6. 
Una volta riavviato tutto ha fatto il sync dei file e poi l'update
automatico a 1.4.7. Adesso aspetto e voglio vedere se passa a 1.6.2 da solo
prima o poi!
 
-- 
P@olo