Google ferme l'accès tiers à l'API Chrome Sync.

Lors d'un audit, Google a découvert que certains produits tiers basés sur le code Chromium utilisaient des clés permettant d'accéder à certaines API et services Google réservés à un usage interne. En particulier à google_default_client_id et google_default_client_secret. Cela permet à l'utilisateur d'accéder à ses propres données Chrome Sync (comme les favoris) non seulement dans Chrome, mais aussi dans d'autres navigateurs tiers basés sur le code Chromium. Justifiant ses efforts pour améliorer la sécurité, Google restreint l'accès des logiciels tiers aux API susmentionnées. Cette décision prendra effet à partir du 15 mars de cette année.

En conséquence, de nombreuses distributions envisagent ont la possibilité d'abandonner complètement Chromium dans leurs versions. Parmi elles : Arch Linux, Fedora, Debian, Slackware, OpenSUSE et d'autres.

Source :

Bonjour Développeur Chromium,

Nous vous informons qu'à partir du 15 mars 2021, les utilisateurs finaux des dérivés de Chromium et de Chromium OS utilisant google_default_client_id et google_default_client_secret dans leur configuration de compilation ne pourront plus se connecter à leurs comptes Google.
Que dois-je savoir ?

Lors d'un audit récent, nous avons découvert que certains navigateurs tiers basés sur Chromium avaient des clés qui permettaient d'accéder aux API et services Google réservés à un usage exclusif de Google. Chrome Sync est l'une des API les plus notables. En particulier à google_default_client_id et google_default_client_secret.

En pratique, cela signifie qu'un utilisateur pourrait accéder à ses données personnelles Chrome Sync (comme les favoris) non seulement avec Chrome, mais aussi avec un navigateur basé sur Chromium non Google. Veuillez noter que les utilisateurs ne pourraient accéder qu'à leurs propres données Chrome Sync, et seule une petite partie des utilisateurs de navigateurs basés sur Chromium a été impactée. Nous n'avons aucune raison de croire que les données des utilisateurs sont abusées ou accessibles par quiconque d'autre que les utilisateurs eux-mêmes.

Dans le cadre des efforts de Google pour améliorer la sécurité des données des utilisateurs, nous supprimons l'accès des dérivés de Chromium et de Chromium OS qui utilisaient google_default_client_id et google_default_client_secret dans leur configuration de compilation aux API réservées à Google à partir du 15 mars 2021. Des conseils pour les fournisseurs de produits dérivés de Chromium sont disponibles sur le wiki de Chromium.
Quelle est la signification pour mes utilisateurs ?

Les utilisateurs de produits qui utilisent incorrectement ces API constateront qu'ils ne pourront plus se connecter à leurs comptes Google dans ces produits.

Pour les utilisateurs qui ont accédé aux fonctionnalités Google (comme Chrome Sync) via un navigateur tiers basé sur Chromium, leurs données continueront à être disponibles dans leur compte Google, et les données qu'ils ont stockées localement continueront à être disponibles localement.

Comme toujours, les utilisateurs peuvent consulter et gérer leurs données via Google Chrome, Chrome OS, et/ou sur la page Mon activité Google, et ils peuvent également télécharger leurs données à partir de la page Google Takeout, et/ou les supprimer depuis cette page.
Que dois-je faire ?

Pour éviter toute interruption, suivez les instructions pour configurer et construire des dérivés de Chromium dans le wiki de Chromium (lien fourni ci-dessus).

Les façons possibles de mettre cela en œuvre sont :

Supprimer google_default_client_id et google_default_client_secret de votre configuration de compilation.
Passer le drapeau —allow-browser-signin=false au démarrage.

Vos projets qui pourraient être affectés par ce changement sont listés ci-dessous :

Arch Linux Chromium (arch-linux-chromium)

Si vous avez des questions ou avez besoin d'aide, veuillez contacter embedd…@chromium.org.

Cordialement,

L'équipe Google Chrome

Source : linux.org.ru