Dropbox ha conquistato negli anni un posto di rilievo nel settore dell'archiviazione cloud. Semplice, relativamente affidabile (poche volte si è assistito a interruzioni del servizio) e multipiattaforma, nel corso del tempo si è arricchito di funzionalità con una vocazione soprattutto all'utilizzo enterprise. Non è tutto oro ciò che luccica, però. A preoccupare non è l'aspetto commerciale, su cui Dropbox compete più che bene con gli altri colossi nel mercato cloud, Apple inclusa. Non è nemmeno l'ambito della privacy: se non ci fidasse di servizi del genere non si dovrebbero utilizzare a prescindere. Sono i problemi di sicurezza quelli che stanno mostrando crepe in Dropbox. Se già non bastava la fuga di password risalenti al 2012, il peggio arriva nella scoperta che queste ore sta assumendo forte risonanza su Hacker News, e di cui ringraziamo Massimilano Latella per la segnalazione. A far luce sul caso è stato il sito AppleHelpWriter, che si sta già occupando della vicenda sin da luglio.

dropboxaccessibilita

Notate Dropbox nel mio screenshot soprastante? È nell'area Accessibilità della sottosezione Privacy, dove sono elencate le applicazioni cui è stato dato il permesso per ottenere il controllo del Mac al fine di effettuare le loro operazioni. Peccato che, come sottolinea l'autore dell'articolo originale dedicato alla vicenda, non abbia chiesto all'utente l'assenso a entrare in tale lista. Cosa che invece di mio ricordo benissimo aver fatto BetterSnapTool, che uso per avere una modalità split view più simile concettualmente a quella di Windows da 7 in poi. Questa è la finestra che Dropbox avrebbe dovuto mostrare:

finestrapermessiaccessibilita

Rimuoverla togliendo la spunta e premendo sul pulsante "-" non risolve il problema: Dropbox ricompare nell'elenco al prossimo login o avvio del sistema. Può avvenire anche prima, nel caso sia il client stesso di Dropbox a essere chiuso e riavviato. Ma la presenza in Accessibilità è forse la parte più visibile dell'intricata situazione di Dropbox su Mac. Quella si riferisce al solo controllo sugli elementi dell'interfaccia grafica, per compiere azioni come se le stesse facendo manualmente l'utente. L'inganno nasce da questa finestra in fase d'installazione:

dropboxvuolepwdadmin

All'apparenza sembra la classica finestra che ogni app chiede per proseguire il setup. Ma il diavolo è nei dettagli, come si suol dire: una finestra autentica chiederebbe la password di amministratore per completare l'installazione e non per assicurarsi che l'app funzioni in modo corretto. Inoltre, la spaziatura tra le due frasi non è presente. Metto qui sotto un esempio di ciò che dico:

veraschermatainstaller

In sostanza, quella finestra vista poco più sopra è il tentativo da parte di Dropbox di ottenere la password di amministratore. Tale comportamento è stato oggetto di un approfondimento tecnico sempre su AppleHelpWriter, scoprendo che con processi specifici dotati di privilegi di amministrazione va a modificare un database di sistema ottenendo molti più privilegi di quelli concessi dal semplice inserimento nella lista Accessibilità e soprattutto di quelli necessari al corretto funzionamento dell'applicazione. Un comportamento che si potrebbe dire equivalente a quello di un vero e proprio malware/rootkit.

Poco convincenti sono le giustificazioni da parte di Dropbox pervenute già nel 2015, quando alcuni utenti iniziarono a far notare le stranezze sul forum ufficiale. Secondo loro, questi permessi sono necessari per visualizzare e modificare i file in modo corretto nell'integrazione col Finder. Ma per farlo non è affatto necessario ottenere in modo ingannevole anche il potenziale controllo dell'intero Mac. Tanto è vero che se si disinstalla il client Dropbox e lo si reinstalla premendo "Annulla" sulla finestra d'inserimento password il funzionamento del servizio non viene minimamente inficiato (il pop up si mostrerà però di nuovo ad ogni login o riavvio). Al momento non è dato sapere se anche sulle versioni per Windows e Linux si assistono ad analoghe situazioni, ma se lo fa su un sistema le probabilità sono buone che lo faccia anche sugli altri, a maggior ragione se uno dei due detiene oltre il 90% del mercato PC.

Appurato che sussiste un pericolo di sicurezza nel modo in cui agisce Dropbox, perché è davvero tale? In primis, come ho già avuto modo di notare più sopra, l'operato non rispetta quanto tecnicamente previsto da Apple e non è corretto nei confronti dell'utente, mostrando schermate ingannevoli. Oltre a ciò, il solo pensare che, per quanto sia improbabile accada, da San Francisco avrebbero la possibilità di fare il bello e il cattivo tempo sui nostri Mac non infonde molto ottimismo. E se il client o il servizio presentassero una falla di sicurezza? Sarebbe una festa per qualsiasi malintenzionato, dato che non si dovrebbe nemmeno sforzare di creare un malware: gli basterebbe l'exploit iniziale per bucare Dropbox e il gioco è fatto per fare del sistema quasi ciò che vuole. Il guaio si aggrava considerando le prossime intenzioni dell'azienda, ossia di arrivare a livello kernel (ringrazio Gabry89 su Twitter per la segnalazione). Oltre all'aumento del rischio di kernel panic in caso di blocco di Dropbox, le rassicurazioni nell'articolo non tolgono il fatto che un baco dell'app in quell'area permetterebbe ai già citati malintenzionati un controllo senza alcun limite.

Tutti gli scenari qui descritti dovranno essere chiariti e risolti al più presto da Dropbox, e nel caso non lo facessero Apple dovrebbe assumersi la responsabilità di metterne il client nella lista anti-malware inibendone il funzionamento fino a una nuova versione pulita. Al di là di quale soluzione verrà intrapresa, quanto discusso è sufficiente a fare un serio danno d'immagine, non tanto in ambito casalingo ma proprio in quello lavorativo su cui la società guidata da Drew Houston tanto punta. Quale professionista e/o azienda potrebbe concedere fiducia a un servizio che si comporta in modo analogo a un programma malevolo e pone in dubbio la futura sicurezza dei computer su cui è installato? Io, se fossi in quei contesti, non lo farei. E forse anche ad uso personale sarà meglio dare un'occhiata ad altri servizi.

AGGIORNAMENTO 23.57: Su TechCrunch è stata riportata la dichiarazione ufficiale di Dropbox in merito alla vicenda, insieme a un chiarimento. Partiamo da quest'ultimo: in realtà la finestra di inserimento password non sarebbe una ricreazione del client Dropbox, ma anch'essa generata da OS X/macOS. Si tratterebbe di un errore di allineamento del testo rispetto ad altre finestre simili di autorizzazione utilizzate dal sistema. Andando invece al commento dell'azienda, vengono respinte le accuse di voler ottenere il controllo del Mac, ribadendo che l'app ottiene permessi con privilegi elevati solo dove strettamente necessario e che la password di amministratore non viene in alcun modo salvata. Viene riconosciuta però l'assoluta assenza di chiarezza sul comportamento del programma e vi porranno rimedio. Pur apprezzando il rapido riscontro di Dropbox, la giustificazione presentata è ancora lontana dal rassicurare gli utenti, pertanto ci attendiamo a breve i dovuti correttivi o quantomeno spiegazioni più esaurienti sul perché di questo particolare modus operandi.