Integrazione con Tapatalk

[developerwinme]

Sul mio dispositivo é rimasta disattivata, come l'ho sempre tenuta.
Io ho Windows, ma dubito faccia granché differenza riguardo un cambio che mi sa di server-side. Magari non tutti gli utilizzatori di Tapatalk avranno la stessa modifica fatta in automatico.

[Andy94]

@andy: non mi stupirei se la riattivazione fosse avvenuta in concomitanza del cambio di politica...

Considerando che la modifica è stata fatta per dire "o paghi o te la tieni", tutti quelli che l'avevano disattivata se la sono trovata attiva non tanto per loro vantaggio, ma per svantaggio di chi gestisce le board che se ne trova a bizzeffe da parte di utenti insospettabili.

Se fosse vero sarebbe una mossa marketing diabolica.

[Al3x]

@Zane ho attivato il salvataggio in cloud sia delle applicazioni che deile impostazioni. Dopio il reset del telefono hanno tutte recuperato le impostazioni che avevo con la vecchia configurazione, tranne appunto Tapatalk. Rimane il dubbio

[Zane]

Confermo reset impostazione firma anche su mio telefono..

[Brucaliffo]

Io per il mio forum ho risolto con un piccolo hack del codice, aggiungendo al file emoji.php dell'estensione tapatalk una funzione che trova e sostituisce la stringa delle firme.
In pratica, da così:

Codice: Seleziona tutto

        #
        # functions to convert unified data into an outgoing format
        #
        function emoji_unified_to_names(        $text){ return emoji_convert($text,'names'); }

        function emoji_convert($text, $map){
                return str_replace(array_keys($GLOBALS['emoji_maps'][$map]),$GLOBALS['emoji_maps'][$map], $text);
        }

a così:

Codice: Seleziona tutto

        #
        # functions to convert unified data into an outgoing format
        #
        function emoji_unified_to_names(        $text){ return emoji_convert($text,'names'); }

        function emoji_convert($text, $map){
                $text = remove_signatures($text);
                return str_replace(array_keys($GLOBALS['emoji_maps'][$map]),$GLOBALS['emoji_maps'][$map], $text);
        }

        #
        # remove tapatalk default signatures
        #
        function remove_signatures($text_body){
                $text_body = preg_replace('/Sent from my[\s\S]+?using Tapatalk/', '',$text_body);
                $text_body = preg_replace('/Inviato dal mio[\s\S]+?utilizzando Tapatalk/', '', $text_body);
                return $text_body;
        }

[Zane]

@Brucaliffo : grazie per la condivisione! Se mai avrò un attimo di tregua convertirò il tuo codice in un'estensione per phpBB 3.1 e procederò ad installarla anche qui da noi.

[Zane]

Ciao ragazzi,
ho attivato la rimozione della firma di Tapatalk tramite le regex fornite da Brucaliffo. Ora sto postando da PC, ma scrivo manualmente il messaggino qui di seguito. Se l'estensione funziona, non dovrebbe vedersi niente:

[Zane]

Proviamo da Tapatalk con firma di default attiva:

[The Doctor]

@Zane se clicco sulla prima notifica in alto mi restituisce un errore

[Zane]

Grazie Doc, un paio di volte l'aveva fatto anche a me ma credevo fosse un problema mio.

Chiedo al volo a quelli di Tapatalk se sanno cosa fare.

Edit: è un problema noto con phpBB 3.2.4. Il fix sarà incluso, presumibilmente, nella 3.2.5.

[The Doctor]

Ottimo allora

[Zane]

Ciao Doc,
ho appena aggiornato a phpBB 3.2.5. Dicono che il problema dovrebbe essere stato risolto: fammi sapere!

[The Doctor]

Ho appena controllato con un thread che dava l'errore e adesso pare risolto. Ottimo lavoro Zane

[Zane]

In realtà io non ho fatto nulla a parte installare l'aggiornamento, ma sono felice che ora sia OK

[Zane]

ciao a tutti. Riprendo questa discussione per segnalare che abbiamo dovuto disattivare Tapatalk a causa di questo problema viewtopic.php?p=87646#p87646

Mi scuso con tutti gli interessati, ma al momento non posso fare altro. Riattiveremo Tapatalk se/quando ci forniranno una soluzione.

[Zane]

È che con dispiacere che vi comunico che poco fa ho rimosso il plugin di Tapatalk in modo definitivo.

Cosa cambia in pratica

• se usi il forum tramite browser web non cambia nulla. turbolab.it/forum è pienamente utilizzabile da PC e mobile, esattamente come prima
• se usi il forum tramite l'app "Tapatalk" per Android o iOS: quell'accesso non è più disponibile. Devi usare il browser web

Segue lista dei motivi per cui l'ho rimosso.


1. È software abbandonato

Magari non "ufficialmente" (non c'è alcuna comunicazione in merito), ma nella pratica lo sviluppo del plugin che consente l'integrazione fra l'app e phpBB si è fermato: l'ultima versione del plugin per phpBB risale a ottobre 2022 . Tapatalk ha, di fatto, abbandonato la versione self-hosted: non arrivano più né supporto né aggiornamenti di sicurezza.

Già nel 2022 ci eravamo accorti che stava rallentando pesantemente il forum). Confermo che non ho mai ricevuto risposta al ticket.

In più, le notifiche push del plugin fallivano da tempo, e l'utile integrazione del tasto "Grazie" non è supportata.


2. È un'ampia superficie d'attacco, collegata al login

Il plugin di Tapatalk espone una seconda API (in XML-RPC) che reimplementa login, scrittura dei messaggi, ricerca e messaggi privati, aggirando parte delle protezioni native di phpBB.

Ad esempio: ho fatto analizzare il codice "al volo" a Claude Code, che ha trovato una piccola vulnerabilità: l'indirizzo

Codice: Seleziona tutto

/forum/mobiquo/mobiquo.php?welcome=1&board_url=...

reindirizzava il browser verso qualsiasi sito esterno, senza bisogno di autenticazione. Preso da solo è un problema assolutamente minore ("open redirect"), che permette al massimo di rendere più credibili i link di phishing, ma non permette né di bucare il forum, né di sottrarre dati. Tuttavia, può essere il segnale di un codice non manutenuto, che gestisce male l'input di un utente nelle primissime righe di una pagina pubblica.


4. Comunica con server esterni

Il plugin per Tapatalk installato in phpBB dialoga di continuo con l'infrastruttura di Tapatalk. In pratica, ci obbliga a fidarci di un soggetto terzo su cui non abbiamo alcun controllo: è difficile pensare che lo sviluppatore faccia volontariamente danni, ma se qualcuno riuscisse ad hackerarli o ad abusare di questa integrazione, prenderebbe pieno controllo anche del nostro server.


5. Ormai non lo usa (quasi) più nessuno

Questa è la parte che più mi rincresce. Guardando i log di accesso al sito vedo che, negli ultimi mesi, l'app Tapatalk è stata usata da 2-3 persone. Mi dispiace perché, anche se fosse per una persona sola, io vorrei mantenerlo. Ma non ci sono i presupposti.

---

CHIARISCO: NON ho rimosso Tapatalk perché il forum fosse "bucato": ho verificato che la nostra versione NON era vulnerabile ai principali exploit pubblici già noti (ad esempio: le SQL injection del 2014 e del 2017), che risultano già corretti. Il motivo è che, utilizzando software abbandonato, è solo questione di tempo prima che salti fuori qualcosa di nuovo che nessuno correggerà mai, soprattutto ora che, tramite AI, emergono vulnerabilità a destra e a manca tutte le settimane.

Per concludere: mi scuso, ancora una volta, con chi utilizzava Tapatalk, ma non possiamo fare diversamente. Come sempre, se avete domande o dubbi, rispondete di seguito.

[Al3x]

Io sono uno dei tre che lo usano

Hai fatto bene a farlo fuori, troppo rischioso

[Zane]

Acch, mi dispiace (si era capito?)!

Grazie per la comprensione