Google uzatvára prístup tretích strán k API Chrome Sync.

Pri audite spoločnosť Google zistila, že niektoré externé produkty založené na kóde Chromium používajú kľúče, ktoré umožňujú prístup k niektorým API a službám Google určeným na interné použitie. Konkrétne ide o google_default_client_id a google_default_client_secret. Vďaka tomu má používateľ možnosť získať prístup k svojim vlastným údajom Chrome Sync (ako sú záložky) nielen v Chrome, ale aj v externých prehliadačoch založených na kóde Chromium. V snahe o zvýšenie bezpečnosti Google obmedzuje prístup externého softvéru k uvedeným API. Toto riešenie nadobúda účinnosť od 15. marca tohto roku.

V súvislosti s tým mnohé distribúcie zvažujú majú možnosť úplne sa vzdať Chromium vo svojich dodávkach. Medzi nimi: Arch Linux, Fedora, Debian, Slackware, OpenSUSE a ďalšie.

Prameň:

Ahoj Chromium Developer,

Píšeme vám, aby sme vás informovali, že od 15. marca 2021 už koncoví používatelia derivátov Chromium a Chromium OS, ktorí používajú google_default_client_id a google_default_client_secret v konfigurácii svojho buildu, nebudú môcť prihlásiť do svojich Google účtov.
Čo by som mal vedieť?

Počas nedávneho auditu sme zistili, že niektoré 3rd-party prehliadače založené na Chromium mali kľúče, ktoré umožňovali prístup k Google API a službám, ktoré sú vyhradené len pre interné použitie Google. Chrome Sync je najvýznamnejšie z týchto API. Konkrétne ide o google_default_client_id a google_default_client_secret.

V praxi to znamená, že používateľ by mohol získať prístup k svojim osobným údajom Chrome Sync (ako sú záložky) nielen s Chromom, ale aj s externým prehliadačom založeným na Chromiu. Upozorňujeme, že používatelia by mali prístup len k svojim vlastným údajom Chrome Sync a len malá časť používateľov prehliadačov založených na Chromiu bola postihnutá. Nemáme dôvod domnievať sa, že by k údajom používateľov mal prístup niekto iný ako samotní používatelia.

V rámci úsilí Google o zlepšenie zabezpečenia údajov používateľov odstraňujeme prístup z derivátov Chromium a Chromium OS, ktoré používali google_default_client_id a google_default_client_secret v konfigurácii svojho buildu na Google-exkluzívne API, počnúc 15. marcom 2021. Pokyny pre predajcov produktov derivátu Chromium sú k dispozícii na wikipédii Chromium.
Čo to znamená pre mojich používateľov?

Používatelia produktov, ktoré nesprávne používajú tieto API, si všimnú, že sa už nebudú môcť prihlásiť do svojich Google účtov v týchto produktoch.

Pre používateľov, ktorí pristupovali k funkciám Google (ako je Chrome Sync) prostredníctvom 3rd-party prehliadača založeného na Chromiu, budú ich údaje naďalej dostupné v ich Google účte a údaje, ktoré majú uložené lokálne, budú naďalej dostupné lokálne.

Tak ako vždy, používatelia môžu zobraziť a spravovať svoje údaje cez Google Chrome, Chrome OS a/alebo na stránke Moja aktivita Google, a môžu tiež stiahnuť svoje údaje zo stránky Google Takeout, a/alebo ich z tejto stránky odstrániť.
Čo by som mal robiť?

Aby ste predišli prerušeniu, postupujte podľa pokynov na konfiguráciu a zostavenie derivátov Chromium na wikipédii Chromium (odkaz uvedený vyššie).

Možné spôsoby implementácie sú:

Odstránenie google_default_client_id a google_default_client_secret z vašej konfiguračnej zostavy.
Zahodenie vlajky —allow-browser-signin=false pri spustení.

Vaše projekty, ktoré môžu byť ovplyvnené touto zmenou, sú uvedené nižšie:

Arch Linux Chromium (arch-linux-chromium)

Ak máte akékoľvek otázky alebo potrebujete pomoc, kontaktujte embedd…@chromium.org.

S úctou,

Tím Google Chrome

Zdroj: linux.org.ru