По време на одит, компанията Google установи, че някои трети страни, базирани на кода на Chromium, използват ключове, които позволяват достъп до определени API и услуги на Google, предназначени за вътрешна употреба. В частност до google_default_client_id и google_default_client_secret. Благодарение на това потребителят има възможност да получава достъп до собствените си данни за Chrome Sync (такива като отметки) не само в Chrome, но и в трети браузъри, базирани на кода на Chromium. Оправдавайки се с усилията за повишаване на сигурността, Google прекратява достъпа на външния софтуер до посочените API. Това решение влиза в сила от 15 март тази година.
Във връзка с това много дистрибуции обмислят възможността за пълно отказване от Chromium в своите доставки. Сред тях: Arch Linux, Fedora, Debian, Slackware, OpenSUSE и други.
Първоизточник:
Здравейте, разработчици на Chromium,
Пишем ви, за да ви уведомим, че от 15 март 2021 г. крайните потребители на Chromium и производни на Chromium OS, използващи google_default_client_id и google_default_client_secret в конфигурацията си за изграждане, вече няма да могат да влизат в своите Google Accounts.
Какво трябва да знам?
По време на неотдавнашен одит, установихме, че някои браузъри на трети страни, базирани на Chromium, имат ключове, които са позволили достъп до API и услуги на Google, предназначени само за собственост на Google. Chrome Sync е най-значимият от тези API. В частност до google_default_client_id и google_default_client_secret.
На практика това означава, че потребителят ще може да получи достъп до личните си данни за Chrome Sync (като отметки) не само с Chrome, но и с несобствен браузър, базиран на Chromium. Моля, имайте предвид, че потребителите ще могат да получават достъп само до собствените си данни за Chrome Sync и само малка част от потребителите на браузъри, базирани на Chromium, са засегнати. Нямаме причина да вярваме, че данните на потребителите се злоупотребяват или достъпват от някой освен самите потребители.
В рамките на усилията на Google за подобряване на сигурността на данните на потребителите, премахваме достъпа до производни на Chromium и Chromium OS, които са използвали google_default_client_id и google_default_client_secret в конфигурацията си за изграждане, за Google-изключителни API, започвайки от 15 март 2021 г. Насоки за производствени компании на производни продукти на Chromium са налични в wiki страницата на Chromium.
Какво означава това за моите потребители?
Потребителите на продукти, които неправилно използват тези API, ще забележат, че вече няма да могат да влизат в своите Google Accounts в тези продукти.
За потребителите, които получават достъп до функции на Google (като Chrome Sync) чрез браузър на трета страна, базиран на Chromium, техните данни ще продължат да бъдат налични в техния Google Account, а данните, които са съхранени локално, ще продължат да бъдат налични локално.
Както винаги, потребителите могат да преглеждат и управляват данните си чрез Google Chrome, Chrome OS, и/или на страницата Моята активност в Google, и също могат да изтеглят данните си от страницата Google Takeout, и/или да ги изтриват от тази страница.
Какво трябва да направя?
За да избегнете смущения, следвайте инструкциите за конфигуриране и изграждане на производни на Chromium в wiki страницата на Chromium (линкът е предоставен по-горе).
Възможни начини за имплементиране на това са:
Премахване на google_default_client_id и google_default_client_secret от конфигурацията ви за изграждане.
Стартирайте с флага —allow-browser-signin=false.
Вашите проекти, които могат да бъдат засегнати от тази промяна, са изброени по-долу:
Arch Linux Chromium (arch-linux-chromium)
Ако имате въпроси или нужда от помощ, моля, свържете се с embedd…@chromium.org.
С уважение,
Екипът на Google Chrome
Източник: linux.org.ru
