Google slēdz trešo pušu piekļuvi Chrome Sync API

Audita laikā Google uzņēmums atklāja, ka daži trešo pušu produkti, kas balstīti uz Chromium kodu, izmanto atslēgas, kas ļauj piekļūt dažiem Google API un pakalpojumiem, kas paredzēti iekšējai lietošanai. Īpaši tas attiecas uz google_default_client_id un google_default_client_secret. Tā rezultātā lietotājam ir iespēja piekļūt saviem Chrome Sync datiem (piemēram, grāmatzīmēm) ne tikai Chrome, bet arī trešo pušu pārlūkprogrammās, kas balstītas uz Chromium kodu. Google, attaisnojoties ar centieniem uzlabot drošību, slēdz piekļuvi trešajām pusēm pie minētajiem API. Šis lēmums stājas spēkā no šī gada 15. marta.

Saistībā ar to daudzi izplatījumi izskata pilnībā atsakās no Chromium savās piegādēs. Starp tiem: Arch Linux, Fedora, Debian, Slackware, OpenSUSE un citi.

Avots:

Sveiki, Chromium izstrādātāji,

Mēs rakstām, lai informētu jūs, ka sākot no 2021. gada 15. marta, beigu lietotājiem, kas izmanto Chromium un Chromium OS atvasinājumus, kuriem ir google_default_client_id un google_default_client_secret būvkomplektā, vairs nebūs iespējams pierakstīties savos Google kontos.
Ko man vajadzētu zināt?

Nesenā audita laikā mēs atklājām, ka dažiem trešo pušu Chromium balstītiem pārlūkiem bija atslēgas, kas ļāva piekļūt Google API un pakalpojumiem, kas ir rezervēti tikai Google lietošanai. Chrome Sync ir viens no šiem API. Īpaši tas attiecas uz google_default_client_id un google_default_client_secret.

Praksē tas nozīmē, ka lietotājs varēs piekļūt saviem personiskajiem Chrome Sync datiem (piemēram, grāmatzīmēm) ne tikai izmantojot Chrome, bet arī ne-Google, Chromium balstītā pārlūkā. Lūdzu, ņemiet vērā, ka lietotāji varēs piekļūt tikai saviem Chrome Sync datiem, un tikai neliela daļa no lietotājiem, kas izmanto Chromium balstītas pārlūkprogrammas, tika ietekmēti. Mums nav iemeslu uzskatīt, ka lietotāju dati tiek ļaunprātīgi izmantoti vai piekļūti no kādas citas puses izņemot pašus lietotājus.

Kā daļu no Google centieniem uzlabot lietotāju datu drošību, mēs no 2021. gada 15. marta noņemam piekļuvi no Chromium un Chromium OS atvasinājumiem, kuriem būvkomplektā bija google_default_client_id un google_default_client_secret, Google ekskluzīviem API. Norādījumi trešo pušu Chromium atvasinājumu produktu piegādātājiem ir pieejami Chromium wiki.
Ko tas nozīmē maniem lietotājiem?

Produktu lietotāji, kas nepareizi izmanto šos API, pamanīs, ka vairs nevarēs pierakstīties savos Google kontos šajos produktos.

Lietotājiem, kuri piekļuva Google funkcijām (piemēram, Chrome Sync) caur trešo pušu Chromium balstītu pārlūku, viņu dati turpinās būt pieejami viņu Google kontā, un dati, kas ir uzglabāti lokāli, turpinās būt pieejami lokāli.

Kā vienmēr, lietotāji var apskatīt un pārvaldīt savus datus, izmantojot Google Chrome, Chrome OS un/vai My Google Activity lapu, kā arī lejupielādēt savus datus no Google Takeout lapas un/vai dzēst tos no šīs lapas.
Ko man vajadzētu darīt?

Lai izvairītos no traucējumiem, sekojiet instrukcijām Chromium atvasinājumu konfigurēšanai un veidošanai Chromium Wiki (saite iepriekš).

Iespējamie veidi, kā to īstenot, ir:

Izņēmuma google_default_client_id un google_default_client_secret no jūsu būvkomplekta.
Pārlūka palaišanas laikā nodot —allow-browser-signin=false karogu.

Jūsu projekti, kas var tikt ietekmēti ar šo izmaiņu, ir norādīti zemāk:

Arch Linux Chromium (arch-linux-chromium)

Ja, ja jums ir kādi jautājumi vai nepieciešama palīdzība, lūdzu, sazinieties ar embedd…@chromium.org.

Ar cieņu,

Google Chrome komanda

Avots: linux.org.ru