A Google audit revealed that some third-party products based on Chromium code use keys that allow access to certain APIs and services intended for internal Google use. Specifically, this includes google_default_client_id and google_default_client_secret. As a result, users can access their own Chrome Sync data (like bookmarks) not only in Chrome but also in third-party browsers based on Chromium code. To enhance security, Google is revoking access to the mentioned APIs for third-party software. This decision takes effect starting March 15 of this year.
Ennek következtében sok disztribúció fontolgatják teljes mértékben elhagyja a Chromiumot a szállításaiban. Ezek között van: Arch Linux, Fedora, Debian, Slackware, OpenSUSE és mások.
Forrás:
Hi Chromium Developer,
Tájékoztatni szeretnénk, hogy 2021. március 15-től a Chromium és Chromium OS származékok végfelhasználói, akik a google_default_client_id és google_default_client_secret kulcsokat használják a build konfigurációjukban, már nem tudnak bejelentkezni a Google-fiókjukba.
Mit kell tudnom?
Egy nemrégiben végzett audit során felfedeztük, hogy néhány harmadik fél által fejlesztett, Chromium alapú böngésző kulcsokat használt, amelyek lehetővé tették a Google által fenntartott API-k és szolgáltatások elérését. A Chrome Sync az egyik legjelentősebb ezek közül. Különösen a google_default_client_id és a google_default_client_secret kulcsokra vonatkozik.
Ez azt jelenti, hogy egy felhasználó hozzáférhet a személyes Chrome Sync adataihoz (például a könyvjelzőkhez) nemcsak Chrome-on, hanem egy nem Google, Chromium alapú böngészőn keresztül is. Kérjük, vegye figyelembe, hogy a felhasználók csak a saját Chrome Sync adataikhoz férhetnek hozzá, és csak a Chromium alapú böngészők kis része érintett. Nincs okunk azt feltételezni, hogy a felhasználói adatokat bárki más, csak a felhasználók használják fel vagy férnek hozzá.
A Google felhasználói adatainak biztonságának javítására irányuló erőfeszítéseinek részeként megszüntetjük a hozzáférést a Google által fenntartott API-khoz a Chromium és Chromium OS származékokban, amelyek a build konfigurációjukban használták a google_default_client_id és google_default_client_secret kulcsokat, 2021. március 15-től. Útmutatás a Chromium származékos termékek gyártói számára elérhető a Chromium wiki-n.
Mit jelent ez a felhasználóim számára?
A termékek, amelyek helytelenül használják ezeket az API-kat, észlelik, hogy már nem tudnak bejelentkezni a Google-fiókjukba azokon a termékeken.
A Google funkciókat (mint például a Chrome Sync) harmadik fél Chromium alapú böngészőjén keresztül használó felhasználóknál az adataik továbbra is elérhetők lesznek a Google-fiókjukban, és a helyben tárolt adataik is továbbra is elérhetők maradnak helyben.
Mint mindig, a felhasználók megtekinthetik és kezelhetik adataikat a Google Chrome, a Chrome OS és/vagy a Google Tevékenységeim oldalon, és letölthetik adataikat a Google Takeout oldalon, valamint törölhetik azokat ezen az oldalon.
Mit kell tennem?
A megszakítások elkerülése érdekében kövesse a Chromium származékok konfigurálására és építésére vonatkozó utasításokat a Chromium Wiki-n (a fenti linket használva).
Lehetséges megoldások a megvalósításhoz:
A google_default_client_id és a google_default_client_secret eltávolítása a build konfigurációjából.
A —allow-browser-signin=false zászló átadása induláskor.
Az alábbiakban látható projektek lehetnek érintettek ebben a változásban:
Arch Linux Chromium (arch-linux-chromium)
Ha bármilyen kérdése van, vagy segítségre van szüksége, kérjük, lépjen kapcsolatba az embedd…@chromium.org címen.
Tisztelettel,
A Google Chrome csapata
Forrás: linux.org.ru
