[⚠️提示] BetterAndBetter 将隐私数据明文保存在 plist 内
xjbeta · 2020-02-02 15:09:13 +08:00 · 8374 次点击这是一个创建于 1754 天前的主题，其中的信息可能已经有所发展或是发生改变。
在 plist 内明文保存的隐私数据
- 最近的 50 条粘贴板历史(包括图片)
- 用于“蓝牙解锁”功能的
系统密码(钥匙串????)
什么软件可以读取这些资料
- 所有沙盒外应用
- 任意授予了
~/Libraray/Preferences目录权限的沙盒应用
受影响的版本 1.6.78 及以下
个人建议
- 未修复前卸载 BAB
- 确保删除了
~/Library/Preferences/com.sunny.BetterAndBetter.plist这个文件 - 填写过密码的 修改相关密码
第 1 条附言 · 2020-02-03 14:58:09 +08:00
这个问题 已经有人反馈过了 但是 BAB 的开发者不以为意
所以单独开帖提醒一下大家
读取粘贴板是需要 Accessibility (无障碍) 权限的
他这样明文存储就是单独开了个能用的"接口" 让其他所有应用绕过该权限读取粘贴板
当然问题更大的是明文存储的 ###系统密码
所以单独开帖提醒一下大家
读取粘贴板是需要 Accessibility (无障碍) 权限的
他这样明文存储就是单独开了个能用的"接口" 让其他所有应用绕过该权限读取粘贴板
当然问题更大的是明文存储的 ###系统密码
第 2 条附言 · 2020-04-25 08:24:49 +08:00
纠正下 macOS 读取粘贴板不用额外获取任何权限
 |
1
AllenHua 2020-02-02 15:20:04 +08:00 via iPhone
感谢提醒
|
 |
2
starrystarry 2020-02-02 19:47:04 +08:00
ji
 ⚠️即使关闭「键盘模块」依然能够读取剪切板数据⚠️ ⚠️建议将全部应用列入黑名单，或者卸载⚠️ |
 |
3
ihwbunny 2020-02-03 01:55:10 +08:00  1
楼主，是个细心的人，很棒！
本人只是从另一方面进行探讨。个人认为，像安全漏洞，首先跟开发者联系，并尽量少滴向公众讲述详细技术内容，会比较好。就如同每次 macOS 更新都会修正各种安全漏洞，而这些漏洞很多都是被第三方发现，并与 Apple 联系确认的，同时他们并没有广泛地向公众公布，而是让 Apple 有时间修正。如同 Intel 芯片的漏洞，涉及所有 Intel CPU 的机器，但是公众只是了解这个威胁，并无法利用公众信息来利用该漏洞。一般来说，个人认为，仅将适合特定人群的信息透露给该特定人群，有其朴实的一面，也会被诟病。 就本例来说，希望开发者能尽快推出新版，修复此重大漏洞。 |
|
4
starrystarry 2020-02-03 08:54:27 +08:00 3
@ihwbunny #3
 开发者对此完全不在意，甚至还有群友冷嘲热讽（开发者默许 |
|
5
ihwbunny 2020-02-03 10:56:47 +08:00
@starrystarry 我觉得是你们彼此之间会错意了，是防止信息泄漏或被他人 /其它软件偷取，而不是软件作者以及 BaB 软件自己偷信息。当然，要是能防止所有人窃取，那是最好得了，但那只存在于纸面。
|
|
6
starrystarry 2020-02-03 11:05:25 +08:00
|
|
7
ihwbunny 2020-02-03 11:22:35 +08:00
@starrystarry 这个开发者是忽略了用户需求，问题就大点了。还是，能和他在详细沟通下，比如说，旧版他可能不想考虑更新了，为了对用户负责，最好是在网站贴出 bug 记录，一是对用户负责，也是撇清自己的责任嘛。
但还是愿国产软件能有长远的发展。 |
 |
8
zealson 2020-02-03 22:23:13 +08:00
首先我也是一名忠实的 BAB 用户，关于这个问题，我好早就跟开发者提过，不过至今都没有什么实质性的优化，今天因为此帖再次跟 BAB 开发者沟通得知：
1. BAB 2.0 会完全重构开发，历时小半年，而且作者是一位大龄的独立开发者，目前主要精力用在分拆 BAB 很多功能做成独立 app 上架到 MAS，之后就会投入到 BAB 2.0 的开发中去，所以这个关于“剪贴板”的优化很可能没有更多精力去完成了； 2. 作者给到两个关于剪贴板“问题”的暂行解决方案，供大家参考： 2.1 将 ~/Library/Preferences/com.sunny.BetterAndBetter.plist 下的 TotalofHistroyPaste 的值修改为 0，即表示剪贴板记录条数为 0，不做任何剪贴板记录，查看 plist 文件也看不到任何明文内容； 2.2 将常用的 App 加入到剪贴板的黑名单，即对加入黑名单的 App 不再做剪贴板记录。 最后我会依然使用 BAB，因为离不开 TA 的触控板手势和鼠标手势，因为它是一款非常强大还免费的国产 App。最后让我们继续期待下 BAB 2.0 的早日到来吧~ |
|
9
zealson 2020-02-03 22:27:19 +08:00
忘了说在操作那 2 个暂行解决方案前，记得先打开 BAB 的“剪贴板”并右键选择“全部删除”来清空目前所有记录过的剪贴板内容
|
 |
10
dot2017 2020-02-05 11:47:08 +08:00
密码这种稍微 base64 编码下也比明文强不少吧？难不成这种小动作也需要重构来解决？
|
 |
11
excitedXXX 2020-05-30 17:34:34 +08:00
之前在他们的反馈群里,V 友吐槽他们家弹窗的坏毛病后就被 QQ 群里的的开发者和用户一顿臭骂.劣性的很,说什么免费的还想怎么样,以后要考虑收费使用了,当时就退群了,但是弹窗对我而言问题不大,就没在意.这次这个问题就真的很恶心了,果断卸载全家桶.丢个链接 https://www.better365.cn/小心他们家的全家桶.没见过这么自大的开发者.呵呵
|
 |
12
better365 2020-06-27 10:17:24 +08:00
感谢楼主以专业的角度指出 BAB1.0 中的漏洞，BAB1.0 从 2015 年开始学习 macOS 编程编写，当时技术水准还很弱，处于学习阶段，在 BAB1.0 中做了很多尝试性功能，因为架构散乱，各模块配合问题，BAB 1.0 已经完全升级不动了，对于你发现的漏洞，我们只能以全新的 BAB2.0 代替。
BAB 2.0 在 2020 年 2 月开始设计、开发，目前 BAB 2.0 内测版已经开发出来了，对 1.0 里你指出的漏洞进行了修复，欢迎楼主体验，进行指导，BAB2.0 内测 QQ 群：1030974631 在群内可获得最新的内测版本。 另外，希望如果有问题，直接在我们社区记录，www.better365.club，我们会一一查看并进行回复，开发人员在 QQ 群里，不建议直接找开发人员聊天反馈问题，如果你找他聊的话，最多只是敷衍几句，基本上不会有太多答案，因为开发不是直接对用户的，这个我想 V2X 里做开发的都懂。 |
|
14
better365 2020-07-20 00:57:31 +08:00
@meisen 蓝牙解锁这个功能本来就是需要密码，我们再 App 内做了用户输入密码的地方，是用户知道的情况下输入进去的，只是当时技术考虑不周，把这个密码搞成明文了。也请你不要恶意带节奏，什么叫做涉嫌隐私？说的一愣一愣的。另外曝光我们什么了，可以把话说明白，少在这稀里糊涂的戳事。
|
|
15
better365 2020-07-20 01:01:11 +08:00
今天，Better And Better 2.0 公测版发布了，在这里邀请大家体验，可以进行测试。新版本的 Better And Better 采用全新架构，之前说的解锁密码明文问题也被修复。当然这个 Better And Better 没有蓝牙解锁这个功能了，也就不存在解锁密码了。总之，欢迎大家体验，检测，如有问题可以在我们 Q 群反馈，QQ 群 2163696885 Better And Better 2.0 下载地址： https://www.better365.cn/bab2.html
|
|
16
better365 2020-07-20 01:04:41 +08:00
@starrystarry 开发者确实沉浸在 2.0 的美好构思里，在你冷嘲热讽 167 天后，推出了全新构架的 2.0，并发在此贴中欢迎公测
|
 |
17
Roykira 2020-07-27 13:48:07 +08:00
你想用输入法切换对吧，这个看上去和其他软件没有重叠的部分，那我就 2000 次给你一次弹窗呢
你想用超级右键对吧，不好意思，你如果想要关闭右键截图的功能，请下载 iShot 呢 哎呀，我们的软件都是经过了 App Store 的验证呢，都上架在 AS 了，不会害你的呢 你想超级邮件不要每一次都手动授权吗？那来用我们的 BetterAndBetter 吧，但是这个软件没有上架 App Store 啊。 开发者：你过点脑子好不好，不要人云亦云。（开发者原话，评论用户对输入法切换弹窗的质问） |
 |
18
corningsun 2020-11-26 09:54:07 +08:00
你想超级邮件不要每一次都手动授权吗？那来用我们的 BetterAndBetter 吧，但是这个软件没有上架 App Store 啊。
+1 被超级右键的视频安利过来的。结果发现没那么简单，还是 360，腾讯全家桶那一套，体验的真的糟糕。 卸载 BetterAndBetter 也很折腾，一直后台运行，杀不掉。需要 `sudo rm -rf ~/Applications/BetterAndBetter.app` |
|
19
starrystarry 2020-12-13 23:32:35 +08:00
@better365 #16 好嘛！ 2.0 现在还没旧版 60% 的功能，然后直接把 1.0 禁了？真是活久 jian
|
Select Language