Během auditu společnost Google zjistila, že některé produkty třetích stran založené na kódu Chromium používají klíče, které umožňují přístup k některým API a službám Google určeným pouze pro interní použití. Konkrétně jde o google_default_client_id a google_default_client_secret. Díky tomu má uživatel možnost přistupovat ke svým vlastním datům Chrome Sync (jako jsou záložky) nejen v Chromu, ale i v jiných prohlížečích založených na kódu Chromium. Ve snaze zvýšit bezpečnost Google uzavírá přístup třetímu softwaru k výše uvedeným API. Toto rozhodnutí vstupuje v platnost od 15. března tohoto roku.
V souvislosti s tím mnoho distribucí zvažují umožní úplné odstranění Chromium z jejich dodávek. Mezi nimi: Arch Linux, Fedora, Debian, Slackware, OpenSUSE a další.
Pramen:
Ahoj vývojáři Chromium,
Píšeme vám, abychom vás informovali, že od 15. března 2021 nebudou koncoví uživatelé derivátů Chromium a Chromium OS, kteří používají google_default_client_id a google_default_client_secret ve své konfiguračním nastavení, schopni se přihlásit ke svým Google účtům.
Co bych měl vědět?
Během nedávného auditu jsme zjistili, že některé prohlížeče třetích stran založené na Chromiu měly klíče, které měly povolený přístup k API a službám Google, které jsou vyhrazeny pouze pro používání Google. Chrome Sync je nejvýznamnějším z těchto API. Konkrétně jde o google_default_client_id a google_default_client_secret.
To v praxi znamená, že uživatel by měl možnost přistupovat ke svým osobním datům Chrome Sync (jako jsou záložky) nejen s Chromem, ale i s ne-Google, prohlížečem založeným na Chromiu. Mějte prosím na paměti, že uživatelé budou moci přistupovat pouze k vlastním datům Chrome Sync a pouze malé procento uživatelů prohlížečů založených na Chromiu bylo zasaženo. Nemáme důvod se domnívat, že by byla data uživatelů zneužívána nebo přistupována někým jiným než samotnými uživateli.
V rámci snah společnosti Google o zlepšení zabezpečení uživatelských dat odstraňujeme přístup z derivátů Chromium a Chromium OS, které používaly google_default_client_id a google_default_client_secret ve své konfiguračním nastavení k API, která jsou výhradně určena pro Google, počínaje 15. březnem 2021. Pokyny pro dodavatele produktů založených na Chromu jsou dostupné na wiki Chromium.
Co to znamená pro mé uživatele?
Uživatelé produktů, které nesprávně používají tato API, si všimnou, že se již nebudou moci přihlásit ke svým Google účtům v těchto produktech.
Pro uživatele, kteří přistupovali k funkcím Google (jako je Chrome Sync) prostřednictvím prohlížeče založeného na Chromiu třetích stran, zůstanou jejich data dostupná ve svém Google účtu a data, která mají uložená lokálně, zůstanou dostupná lokálně.
Jak je obvyklé, uživatelé mohou zobrazit a spravovat svá data prostřednictvím Google Chrome, Chrome OS a/nebo na stránce Moje aktivita Google, a také mohou stáhnout svá data z stránky Google Takeout a/nebo je smazat z této stránky.
Co mám dělat?
Aby nedošlo k narušení, postupujte podle pokynů pro konfiguraci a sestavení derivátů Chromia na wiki Chromia (odkaz je uveden výše).
Možné způsoby implementace jsou:
Odstranění google_default_client_id a google_default_client_secret ze svých konfiguračních nastavení.
Předávání příznaku —allow-browser-signin=false při spuštění.
Vaše projekty, které by mohly být tímto změněm ovlivněny, jsou uvedeny níže:
Arch Linux Chromium (arch-linux-chromium)
Pokud máte jakékoli dotazy nebo potřebujete pomoc, kontaktujte prosím embedd…@chromium.org.
S pozdravem,
Tým Google Chrome
Zdroj: linux.org.ru
