Tijdens een audit ontdekte Google dat sommige externe producten, gebaseerd op Chromium-code, gebruikmaken van sleutels die toegang geven tot bepaalde API's en diensten van Google, die alleen voor intern gebruik zijn bedoeld. In het bijzonder google_default_client_id en google_default_client_secret. Hierdoor heeft de gebruiker de mogelijkheid om toegang te krijgen tot zijn eigen Chrome Sync-data (zoals bladwijzers) niet alleen in Chrome, maar ook in externe browsers die zijn gebaseerd op Chromium-code. Als onderdeel van de inspanningen om de beveiliging te verbeteren, sluit Google de toegang voor externe software tot de genoemde API's. Deze beslissing treedt in werking op 15 maart van dit jaar.
Hierdoor zullen veel distributies overwegen de mogelijkheid hebben om volledig af te zien van Chromium in hun leveringen. Onder anderen: Arch Linux, Fedora, Debian, Slackware, OpenSUSE en anderen.
Bron:
Hallo Chromium-ontwikkelaar,
We schrijven om u te informeren dat vanaf 15 maart 2021 eindgebruikers van Chromium en afgeleiden daarvan die gebruikmaken van google_default_client_id en google_default_client_secret in hun buildconfiguratie zich niet langer kunnen aanmelden bij hun Google-accounts.
Wat moet ik weten?
Tijdens een recente audit ontdekten we dat sommige 3e-partij Chrome op Chromium gebaseerde browsers sleutels hadden die toegang gaven tot Google API's en diensten die alleen voor Google zijn voorbehouden. Chrome Sync is de meest opvallende van deze API's. In het bijzonder google_default_client_id en google_default_client_secret.
In de praktijk betekent dit dat een gebruiker toegang zou kunnen krijgen tot zijn persoonlijke Chrome Sync-data (zoals bladwijzers) niet alleen met Chrome, maar ook met een niet-Google, Chromium-gebaseerde browser. Houd er rekening mee dat gebruikers alleen toegang zouden hebben tot hun eigen Chrome Sync-data, en dat slechts een klein percentage van de gebruikers van Chromium-gebaseerde browsers is getroffen. We hebben geen reden om te geloven dat gebruikersdata wordt misbruikt of toegankelijk is voor iemand anders dan de gebruikers zelf.
Als onderdeel van de inspanningen van Google om de beveiliging van gebruikersdata te verbeteren, verwijderen we de toegang van Chromium en Chrome OS-afgeleiden die google_default_client_id en google_default_client_secret in hun buildconfiguratie gebruikten tot Google-exclusieve API's, vanaf 15 maart 2021. Richtlijnen voor aanbieders van producten gebaseerd op Chromium zijn beschikbaar op de Chromium-wiki.
Wat betekent dit voor mijn gebruikers?
Gebruikers van producten die deze API's verkeerd gebruiken, zullen merken dat ze zich niet langer kunnen aanmelden bij hun Google-accounts in die producten.
Voor gebruikers die via een 3e-partij Chromium-gebaseerde browser toegang hadden tot Google-functies (zoals Chrome Sync), blijft hun data beschikbaar in hun Google-account en blijft data die lokaal is opgeslagen ook lokaal beschikbaar.
Zoals altijd kunnen gebruikers hun data bekijken en beheren via Google Chrome, Chrome OS, en/of op de Mijn Google Activiteit-pagina, en ze kunnen ook hun data downloaden van de Google Takeout-pagina, en/of het van deze pagina verwijderen.
Wat moet ik doen?
Om verstoringen te voorkomen, volg de instructies voor het configureren en bouwen van Chromium-afgeleiden in de Chromium Wiki (link hierboven).
Mogelijke manieren om dit te implementeren zijn:
google_default_client_id en google_default_client_secret verwijderen uit uw buildconfiguratie.
De —allow-browser-signin=false-vlag bij het opstarten doorgeven.
Uw projecten die door deze wijziging kunnen worden beïnvloed, zijn hieronder vermeld:
Arch Linux Chromium (arch-linux-chromium)
Als u vragen heeft of hulp nodig heeft, neem dan contact op met embedd…@chromium.org.
Met vriendelijke groet,
Het Google Chrome Team
Bron: linux.org.ru
