macOS Catalina: Terminal-Sonderrechte umgehen Schutzfunktion (heise.de)

[Elebato]

macOS Catalina: Terminal-Sonderrechte umgehen Schutzfunktion

Apples Terminal erhält in macOS 10.15 undokumentierte Sonderrechte beim Dateizugriff – permanent und ohne Hinweis.

 

[maba_de]

ist ja leider schon Usus, das Apple bei den eigenen Tools schlampt und dann kommen so Probleme heraus.
Hauptsache, die Entwickler von Dritt Tools gängeln, damit das System "sicher" ist.

 

[MOM2006]

vielleicht auch absicht, dass das so ist wie es ist. sowas vergisst man einfach nicht so bzw. macht nicht einfach so, vor allem wenn die berechtigungen für den benutzer so ziemlich versteckt sind und der auch einiges in angriff nehmen muss um das wieder gerade zu biegen

 

[maba_de]

kann irgendwie nicht sein.
Für jede Applikation muss man für jeden Ordner Rechte bestätigen, Apple richtet mal eben für das Terminal, in dem man wirklich extrem viel kaputt machen kann, globale Rechte ein:

In einer WWDC-Session betonte Apple im Juni, dass die Datenschutzfunktionen von macOS Catalina die "Nutzerabsicht" einbeziehen, um den "Workflow" nicht durch Einblendung eines Dialoges zu stören. Wenn beispielsweise eine Datei per Drag & Drop vom Nutzer in ein anderes Programm gezogen wird, müsse nicht erst Zugriff darauf gewährt werden. Dass das Terminal dadurch aber permanente Sonderrechte für den Zugriff auf Dateien und Ordner erhält, selbst wenn der Nutzer dies bereits explizit abgelehnt hat, blieb dort aber unerwähnt.

Aus dem Heise Link oben

Wie dämlich ist dass denn?
Da sieht man auch, wie wenig durchdacht das nervende Rechte Konstrukt von Catalina ist, wenn Apple das selbst umgehen muss.

 

[MOM2006]

bei apple sind so viele dinge nicht durchdacht oder einfach schlichtweg kaputt und schlecht gemacht. wenn ich sehe wie einfach google im chrome seinen sync macht und wie das funktioniert. und dann auf der anderen seite apple mit seinem icloud safari verhau. mal verliert das gerät die history, dann kann das alte high sierra nimmer mitspielen, weil man in der cloud mal wieder was gedreht hat…
dann nimmt man python und co. aus dem os raus, nur weil man halt nicht patchen will und im gegenzug baut man dann so einen mist wie die terminal berechtigungen ein.
wobei ich auch sagen muss, ich hab im terminal noch nie mit drag and drop gearbeitet was pfade betrifft. tab taste zum ergänzen existiert ja. und interessanterweise wenn ich am terminal initial ein find / …. absetze kommen ja auch zig popups wegen zugriffsberechtigungen.

 

[tocotronaut]

Vorher wurde eben gar nicht gefragt.
Jetzt wird bei allem, ausser dem Terminal gefragt.
Wobei es ja explizit eine (Drag&Drop) Interaktion mit dem Terminal sein muss, um die rechte zu erweitern.
Und so wie es sich für mich bei weiterem drüber nachdenken darstellt ist das ja potenziell bei allen Programmen so, die Daten per drag & Drop bekommen.

Etwas sicherer ist es dadurch schon...
... aber ein geschmäckle bleibt.

 

[MOM2006]

Schön ist es nicht...

Aber vorher wurde eben gar nicht gefragt.
Jetzt wird bei allem, ausser dem Terminal gefragt.
Wobei es ja eine (Drag&Drop) Interaktion mit dem Terminal sein muss, um die rechte zu erweitern.

Ein Stückchen sicherer ist es dadurch schon...

ja aber die begründung in der WWDC Session führt das ganze aber ad absurdum. entweder ich zieh das komplett durch oder lass es. tippt wer kommt popup macht einer drag an drop kommt gar nix nur um den workflow und die user experience nicht zu stören. jede wette so ein drag and drop könnte auch jede malware programmtechnisch nachbilden. und dann bist aber schwer im arsch

 

[tocotronaut]

wie gesagt - schön ist es nicht...

Aber seien wir mal ehrlich...
Mauseingaben sinnvoll zu simulieren und kombinieren ist nochmal eine andere Stufe, als direkt einen Befehl an das Terminal zu schicken.

Bis das jemand schafft hat apple noch etwas zeit sich was anderes auszudenken.

 

[MOM2006]

ich weiss ja nicht wie schwierig das am mac ist. unter windows gibts dafür aber programme, die sowas schön aufzeichen können und dann wiedergeben können. sollt mit dem automator oder wie das ding heisst ja auch relativ schnell was gebaut sein

 

[bowman]

jede wette so ein drag and drop könnte auch jede malware programmtechnisch nachbilden. und dann bist aber schwer im arsch

...wenn die Malware mit *deinen* Rechten unterwegs ist und auf Verzeichnisse zugreifen will, auf denen *du* Rechte hast, dann ja. So war das aber schon vorher und so wird das unter Unix aber auch immer sein, das hat mir der jetzt von Catalina davorgesetzten Nachfragerei nichts zu tun. Wenn der Nutzer zusätzlich nicht in der Lage ist, eine etwaige sudo-Rechteausweitung durch eine Passwortabfrage zu erkennen, hilft auch alles andere nichts - ausser die komplette Aufgabe von Nutzerrechten im Dateisystem wie in iOS.

Wer damit kein Problem hat oder das sogar mag, der ist mit iPads wohl besser unterwegs...