🥇Google zatvara vanjski pristup Chrome Sync API-ju

Tijekom audita, Google je otkrio da neki vanjski proizvodi temeljeni na Chromium kodu koriste ključeve koji omogućuju pristup određenim Google API-ima i uslugama namijenjenim samo za internu upotrebu. Konkretno, radi se o google_default_client_id i google_default_client_secret. Zbog toga korisnik može pristupiti vlastitim Chrome Sync podacima (poput oznaka) ne samo u Chromeu, već i u drugim preglednicima temeljenim na Chromium kodu. U okviru nastojanja za poboljšanjem sigurnosti, Google zatvara pristup vanjskom softveru za spomenute API-e. Ova odluka stupa na snagu 15. ožujka ove godine.

U tom smislu, mnogi distribucijski sustavi razmatraju omogućuju potpuno napuštanje Chromiumm kod svojih isporuka. Među njima su: Arch Linux, Fedora, Debian, Slackware, OpenSUSE i drugi.

Izvor:

Hi Chromium Developer,

Pišemo vam da vas obavijestimo da će od 15. ožujka 2021. godine, krajnji korisnici derivata Chromiumm i Chromium OS-a koji koriste google_default_client_id i google_default_client_secret u svojoj konfiguraciji zgrade više moći prijaviti se na svoje Google račune.
Što trebam znati?

Tijekom nedavnog audita, otkrili smo da su neki 3rd-party preglednici temeljeni na Chromiumm imali ključeve koji su omogućili pristup Google API-ima i uslugama koje su rezervirane samo za Google. Chrome Sync je najistaknutiji od tih API-ja. Konkretno, radi se o google_default_client_id i google_default_client_secret.

U praksi to znači da bi korisnik mogao pristupiti svojim osobnim Chrome Sync podacima (kao što su oznake) ne samo putem Chromea, već i putem ne-Google, preglednika temeljenog na Chromiumu. Imajte na umu da bi korisnici mogli pristupiti samo svojim Chrome Sync podacima, a samo mali postotak korisnika preglednika temeljenog na Chromiumu bio je pogođen. Nemamo razloga vjerovati da se korisnički podaci zloupotrebljavaju ili im pristupa itko osim samih korisnika.

Kao dio Googleovih napora da poboljša sigurnost korisničkih podataka, uklanjamo pristup derivatima Chromiumm i Chromium OS-u koji su koristili google_default_client_id i google_default_client_secret u svojoj konfiguraciji za izgradnju Google ekskluzivnim API-jima počevši od 15. ožujka 2021. Upute za dobavljače proizvoda temeljenih na Chromiumm dostupne su na Chromium wiki.
Što to znači za moje korisnike?

Korisnici proizvoda koji pogrešno koriste ove API-je primijetit će da se više ne mogu prijaviti na svoje Google račune u tim proizvodima.

Za korisnike koji su pristupili Google funkcijama (poput Chrome Sync-a) putem 3rd-party preglednika temeljenog na Chromiumm, njihovi podaci bit će i dalje dostupni na njihovom Google računu, a podaci koje su pohranili lokalno će ostati dostupni lokalno.

Kao i uvijek, korisnici mogu pregledati i upravljati svojim podacima putem Google Chromea, Chrome OS-a, i/ili na stranici Moja Google aktivnosti, a također mogu preuzeti svoje podatke s stranice Google Takeout, i/ili ih izbrisati s ove stranice.
Što trebam učiniti?

Kako biste izbjegli prekid, slijedite upute za konfiguraciju i izgradnju derivata Chromiumm u Chromium wiki (veza navedena iznad).

Mogući načini implementacije su:

Uklanjanje google_default_client_id i google_default_client_secret iz svoje konfiguracije zgrade.
Prosljeđivanje —allow-browser-signin=false zastavice pri pokretanju.

Vaši projekti koji bi mogli biti pogođeni ovom promjenom navedeni su u nastavku:

Arch Linux Chromium (arch-linux-chromium)

Ako imate bilo kakvih pitanja ili trebate pomoć, kontaktirajte embedd…@chromium.org.

S poštovanjem,

Tim Google Chrome

Izvor: linux.org.ru