In diesem Fall ist das richtig, aber ich sehe das nicht nur als ein technisches Problem. Es gibt vielerlei Bestrebungen immer umfangreiche, webbasierte Programme für allerlei Anwendungen zu entwickeln. Das geht von altbekanntem (email) über soziale Netzwerke (die wie Facebook selbst auch wieder als Plattform agieren) bis hin zu ganzen Officeanwendungen.
Und ich habe da die Befürchtung, dass man in den kommenden Jahren versuchen wird diesen Anwendungen im Zuge der Benutzerfreundlichkeit auch mehr und mehr Zugriff auf lokale Daten zu geben. Am Beispiel einer webbasierten Officeanwendung: es wäre doch für den Nutzer von Vorteil ein lokales Dokument direkt in dieser Webanwendungen öffnen zu können. Es wird also irgendwann einen Mechanismus geben wie eine solche Anwendung auf lokale Nutzerdaten zugreifen kann. Und auch Webanwendungen wird man mehr und mehr gestatten Daten und Inhalte auf dem lokalen System zu hinterlegen, in HTML5 gibt es mit den lokal gespeicherten Datenbanken ja schon erste Versuche.
Natürlich wird man versuchen diese Zugriffe so sicher wie möglich zu machen, z.B. mit Sicherheitsabfragen wie "die Anwendung XYZ möchte auf dies und das zugreifen, möchten Sie das erlauben?". Aber je mehr Anwendungen dieser Art untereinander zusammenwachsen, desto schwieriger wird es für den Nutzer zu erkennen woher diese Anwendung denn nun stammt und ob diese Vertrauenswürdig ist. Ist denn die Anwendung, deren Link ich in Facebook (vermeintlich) von einem Freund bekommen habe von Facebook selbst programmiert? Oder von jemand anderem? So einfach ist das oft nicht zu sehen. Und sind sich die meisten Nutzer überhaupt im Klaren darüber das eine solche Anwendung von jemand ganz anderem erstellt sein könnte?
Und wenn ein potentiell schädliches Programm sich geschickt darstellt, werden viele darauf reinfallen. Facebook ist da ein aktuelles Beispiel, man kann dort Anwendungen allerlei Zugriffsrechte auf persönliche Profildaten geben. Facebook will dafür zwar immer eine Bestätigung haben, aber viele Nutzer geben diese Bestätigung oftmals leichtfertig ab, in der Überzeugung das "Facebook schon kontrolliert haben wird was diese Anwendung mit meinen Daten macht".
Jetzt ist es natürlich leicht zu sagen die Nutzer sind selbst schuld wenn sie alles bestätigen, oder solche Netzwerke nutzen, oder überhaupt alles im Web machen. Es ist aber nunmal eine Tatsache, dass diese Anwendungen und Dienste von den entsprechenden Betreibern intensiv beworben werden und es offenbar auch einen Bedarf dafür gibt, bzw. deren Nutzer einen großen Vorteil sehen wenn man alles online speichert. Nachteile und Gefahren fallen dabei völlig unter den Tisch.
Daher sehe ich dies schon als ein potentiell größeres Problem an, das viel weiter über die Frage lokaler Rootrechte oder unsicherer Frameworks hinausgeht.
Letztlich scheint sich für mich die Geschichte erneut zu wiederholen: als email aufkam begannen alle mit email zu kommunizieren, und so wurde eine ganz neue Art von Werbung und Geschäftsmodell geboren, die Spam email. Und auch Malwareautoren versuchten über email an die Leute heranzugehen. Später kam das Phishing mit clever fingierten emails aus angeblich vertrauenswürdigen Quellen hinzu.
Was war die Lösung des ganzen? Man versuchte die Schadensmöglichkeiten zu begrenzen, in dem man einem email Programm nicht gestattet einfach so Anwendungen auszuführen oder Daten zu lesen oder zu speichern. Das war hier relativ einfach möglich, da ein email Programm letztlich nur für emails gedacht war und es keine große Einschränkung ist wenn man diesem alles was darüber hinausgeht verbietet.
Aber nun will man ja eine Anwendung die mehr ist als nur Kommunikation. Und wenn die Nutzerzahl von Seiten wie Facebook weiter steigt, werden auch die Spammer und Malwareautoren dorthin gehen.
Und somit holen wir uns das ganze Problem wieder zurück auf den Mac. Und in diesem Fall kann man die Rechte der Anwendung nicht so einfach eingrenzen, da es der Wunsch der Nutzer sein wird das die Anwendung viele Dienste anbietet und nicht nur einen und im Fall von Facebook sogar selbst wieder als Plattform für ganze Anwendungen dienen soll.