Under en revision opdagede Google, at nogle tredjepartsprodukter baseret på Chromium-koden bruger nøgler, der giver adgang til visse Google API'er og tjenester, der er beregnet til intern brug. Især til google_default_client_id og google_default_client_secret. Dette gør det muligt for brugeren at få adgang til sine egne Chrome Sync-data (såsom bogmærker) ikke kun i Chrome, men også i tredjeparts browsere baseret på Chromium-koden. Som en del af bestræbelserne på at forbedre sikkerheden lukker Google adgangen for tredjepartssoftware til de nævnte API'er. Denne beslutning træder i kraft fra den 15. marts i år.
I forbindelse med dette vil mange distributioner overvejer have mulighed for helt at forlade Chromium i deres leverancer. Blandt dem er: Arch Linux, Fedora, Debian, Slackware, OpenSUSE og andre.
Kilde:
Hej Chromium-udvikler,
Vi skriver for at informere dig om, at fra den 15. marts 2021 vil slutbrugere af Chromium og afledte produkter af Chromium OS, der bruger google_default_client_id og google_default_client_secret i deres byggekonfiguration, ikke længere kunne logge ind på deres Google-konti.
Hvad skal jeg vide?
Under en nylig revision opdagede vi, at nogle tredjeparts browsere baseret på Chromium havde nøgler, der blev tilladt at få adgang til Google API'er og tjenester, der kun er reserveret til Google-brug. Chrome Sync er den mest iøjnefaldende af disse API'er. Især til google_default_client_id og google_default_client_secret.
I praksis betyder dette, at en bruger ville være i stand til at få adgang til deres personlige Chrome Sync-data (såsom bogmærker) ikke kun med Chrome, men også med en ikke-Google, Chromium-baseret browser. Bemærk venligst, at brugerne kun vil være i stand til at få adgang til deres egne Chrome Sync-data, og at kun en lille del af brugerne af browsere baseret på Chromium blev påvirket. Vi har ingen grund til at tro, at brugerdata bliver misbrugt eller tilgået af andre end brugerne selv.
Som en del af Googles bestræbelser på at forbedre sikkerheden for brugerdata fjerner vi adgangen fra Chromium og afledte produkter af Chromium OS, der brugte google_default_client_id og google_default_client_secret i deres byggekonfiguration til Google-eksklusive API'er fra den 15. marts 2021. Vejledning til leverandører af produkter baseret på Chromium-er tilgængelig på Chromium-wiki'en.
Hvad betyder dette for mine brugere?
Brugere af produkter, der bruger disse API'er forkert, vil bemærke, at de ikke længere kan logge ind på deres Google-konti i disse produkter.
For brugere, der har haft adgang til Google-funktioner (som Chrome Sync) gennem en tredjeparts browser baseret på Chromium, vil deres data fortsat være tilgængelige i deres Google-konto, og data, de har gemt lokalt, vil fortsat være tilgængelige lokalt.
Som altid kan brugere se og administrere deres data gennem Google Chrome, Chrome OS, og/eller på siden Min Google Aktivitet, og de kan også downloade deres data fra Google Takeout-siden, og/eller slette dem fra denne side.
Hvad skal jeg gøre?
For at undgå forstyrrelser skal du følge instruktionerne til konfiguration og bygning af Chromium-afledte produkter i Chromium-wiki'en (linket ovenfor).
Mulige måder at implementere dette på er:
At fjerne google_default_client_id og google_default_client_secret fra din byggekonfiguration.
At sende —allow-browser-signin=false flaget ved opstart.
Dine projekter, der kan blive påvirket af denne ændring, er opført nedenfor:
Arch Linux Chromium (arch-linux-chromium)
Hvis du har spørgsmål eller har brug for assistance, bedes du kontakte embedd…@chromium.org.
Med venlig hilsen,
Google Chrome Teamet
Kilde: linux.org.ru
