Med audita je podjetje Google ugotovilo, da nekateri tretji izdelki, ki temeljijo na kodi Chromium, uporabljajo ključe, ki omogočajo dostop do nekaterih Google API in storitev, namenjenih izključno za notranjo uporabo. Zlasti do google_default_client_id in google_default_client_secret. Zaradi tega imajo uporabniki možnost dostopa do svojih podatkov Chrome Sync (kot so zaznamki) ne le v Chromu, temveč tudi v tretjih brskalnikih, temelječih na kodi Chromium. Google, v prizadevanju za povečanje varnosti, zapira dostop tretjim programski opremi do zgoraj omenjenih API. To odločitev začne veljati 15. marca tega leta.
Zaradi tega so mnogi distribucijski sistemi dodatno dodati korenski certifikat, ki se uporablja za prestrezanje, na seznam preklicanih certifikatov (OneCRL), kot je nedavno storila Mozilla pridobili možnost popolne opustitve Chromiuma v svojih dostavah. Med njimi: Arch Linux, Fedora, Debian, Slackware, OpenSUSE in drugi.
Vir:
Pozdravljen, razvijalec Chromiuma,
Pisem vam, da vas obvestimo, da bodo od 15. marca 2021 končni uporabniki derivatov Chromium in Chromium OS, ki v svoji konfiguraciji gradnje uporabljajo google_default_client_id in google_default_client_secret, prenehali lahko prijavljati v svoje Google račune.
Kaj moram vedeti?
Med nedavnim auditom smo odkrili, da nekateri brskalniki, ki temeljijo na Chromiumu in jih upravljajo tretje osebe, vsebujejo ključe, ki omogočajo dostop do Google API in storitev, ki so rezervirane izključno za Google. Chrome Sync je najbolj opazen med temi API. Zlasti do google_default_client_id in google_default_client_secret.
V praksi to pomeni, da bo uporabnik lahko dostopal do svojih osebnih podatkov Chrome Sync (kot so zaznamki) ne samo z Chromom, temveč tudi z ne-Google brskalnikom, temelječim na Chromiumu. Upoštevajte, da bodo uporabniki lahko dostopali samo do svojih lastnih podatkov Chrome Sync, in le majhen delež uporabnikov brskalnikov, ki temeljijo na Chromiumu, je bil prizadet. Nimamo razloga verjeti, da se podatki uporabnikov zlorabljajo ali da jih dostopa kdo drug kot sami uporabniki.
Kot del prizadevanj Google za izboljšanje varnosti uporabniških podatkov bomo od dne 15. marca 2021 ukinili dostop derivatom Chromiuma in Chromium OS, ki so konstruirali google_default_client_id in google_default_client_secret do API, ki so ekskluzivni za Google. Navodila za dobavitelje izdelkov, ki izhajajo iz Chromiuma, so na voljo na wiki stránki Chromium.
Kaj to pomeni za moje uporabnike?
Uporabniki izdelkov, ki napačno uporabljajo te API, bodo opazili, da se v teh izdelkih ne bodo mogli več prijaviti v svoje Google račune.
Za uporabnike, ki so dostopali do Google funkcij (kot je Chrome Sync) preko tretjega brskalnika, temelječega na Chromiumu, bodo njihovi podatki še naprej dostopni v njihovem Google računu, podatki, ki so jih shranili lokalno, pa bodo še naprej dostopni lokalno.
Kot vedno lahko uporabniki ogledajo in upravljajo svoje podatke preko Google Chroma, Chrome OS, in/ali na strani Moje Google dejavnosti, prav tako pa lahko prenesejo svoje podatke s strani Google Takeout, in/ali jih izbrišejo s te strani.
Kaj moram storiti?
Da bi se izognili prekinjanju, sledite navodilom za konfiguracijo in gradnjo derivatov Chromiuma v wiki strani Chromium (povezava je navedena zgoraj).
Možni načini za izvajanje tega so:
Odstranitev google_default_client_id in google_default_client_secret iz vaše konfiguracije gradnje.
Prenos zastavice —allow-browser-signin=false ob zagonu.
Vaši projekti, ki bi jih ta sprememba lahko prizadela, so navedeni spodaj:
Arch Linux Chromium (arch-linux-chromium)
Če imate kakršnakoli vprašanja ali potrebujete pomoč, prosimo, kontaktirajte embedd…@chromium.org.
S spoštovanjem,
Ekipa Google Chrome
Izvor: linux.org.ru
