Durante uma auditoria, a empresa Google descobriu que alguns produtos de terceiros baseados no código Chromium usam chaves que permitem o acesso a algumas APIs e serviços do Google, destinados ao uso interno. Em particular, o google_default_client_id e o google_default_client_secret. Com isso, o usuário tem a possibilidade de acessar seus próprios dados do Chrome Sync (como favoritos) não apenas no Chrome, mas também em navegadores de terceiros baseados no código Chromium. Justificando-se com os esforços para aumentar a segurança, o Google está restringindo o acesso de software de terceiros às APIs mencionadas. Esta decisão entra em vigor a partir de 15 de março deste ano.
Devido a isso, muitas distribuições estão considerando estão abandonando o Chromium em suas versões. Entre elas: Arch Linux, Fedora, Debian, Slackware, OpenSUSE e outras.
Fonte:
Oi, Desenvolvedor do Chromium,
Estamos escrevendo para informar que a partir de 15 de março de 2021, os usuários finais de derivados do Chromium e do Chromium OS que usarem google_default_client_id e google_default_client_secret em sua configuração de build não poderão mais fazer login em suas contas do Google.
O que eu preciso saber?
Durante uma auditoria recente, descobrimos que alguns navegadores de terceiros baseados no Chromium tinham chaves que eram permitidas para acessar APIs e serviços do Google que são reservados apenas para uso do Google. O Chrome Sync é o mais notável dessas APIs. Em particular, o google_default_client_id e o google_default_client_secret.
Na prática, isso significa que um usuário poderia acessar seus dados pessoais do Chrome Sync (como favoritos) não apenas com o Chrome, mas também com um navegador não-Google, baseado no Chromium. Observe que os usuários só poderiam acessar seus próprios dados do Chrome Sync, e apenas uma pequena fração dos usuários de navegadores baseados em Chromium foi impactada. Não temos motivos para acreditar que os dados dos usuários estão sendo abusados ou acessados por alguém que não seja os próprios usuários.
Como parte dos esforços do Google para melhorar a segurança dos dados dos usuários, estamos removendo o acesso de derivados do Chromium e do Chromium OS que usaram google_default_client_id e google_default_client_secret em sua configuração de build às APIs exclusivas do Google a partir de 15 de março de 2021. Diretrizes para fornecedores de produtos derivados do Chromium estão disponíveis na wiki do Chromium.
O que isso significa para meus usuários?
Usuários de produtos que estão usando incorretamente essas APIs perceberão que não poderão mais fazer login em suas contas do Google nesses produtos.
Para usuários que acessaram recursos do Google (como o Chrome Sync) através de um navegador de terceiros baseado no Chromium, seus dados continuarão disponíveis em sua conta do Google, e os dados que armazenaram localmente continuarão disponíveis localmente.
Como sempre, os usuários podem visualizar e gerenciar seus dados através do Google Chrome, Chrome OS e/ou na página Minha Atividade do Google, e também podem baixar seus dados na página Google Takeout, e/ou excluí-los dessa página.
O que eu preciso fazer?
Para evitar interrupções, siga as instruções para configurar e construir derivados do Chromium na wiki do Chromium (link fornecido acima).
Possíveis maneiras de implementar isso são:
Remover google_default_client_id e google_default_client_secret de sua configuração de build.
Passar o sinalizador --allow-browser-signin=false durante a inicialização.
Seus projetos que podem ser afetados por essa mudança estão listados abaixo:
Arch Linux Chromium (arch-linux-chromium)
Se você tiver alguma dúvida ou precisar de assistência, entre em contato com embedd…@chromium.org.
Atenciosamente,
A Equipe do Google Chrome
Fonte: linux.org.ru
