Under auditen upptäckte Google att vissa tredjepartsprodukter baserade på Chromium-kod använder nycklar som ger åtkomst till vissa API:er och tjänster från Google som är avsedda för internt bruk. Specifikt gäller detta google_default_client_id och google_default_client_secret. Detta ger användaren möjlighet att få åtkomst till sina egna Chrome Sync-data (som bokmärken) inte bara i Chrome utan även i andra webbläsare som är baserade på Chromium-kod. För att öka säkerheten stänger Google nu åtkomsten för tredjepartsprogramvara till ovan nämnda API:er. Denna åtgärd träder i kraft den 15 mars i år.
Som en följd av detta kommer många distributioner möjligheten att använda den nya teknologin. Enligt att helt överge Chromium i sina utgåvor. Bland dem finns: Arch Linux, Fedora, Debian, Slackware, OpenSUSE och andra.
Källa:
Hej Chromium-utvecklare,
Vi skriver för att informera er om att från och med den 15 mars 2021 kommer slutanvändare av Chromium och derivat av Chromium OS som använder google_default_client_id och google_default_client_secret i sin byggkonfiguration inte längre kunna logga in på sina Google-konton.
Vad behöver jag veta?
Vid en nyligen genomförd revision upptäckte vi att vissa tredjepartswebbläsare baserade på Chromium hade nycklar som tilläts att få åtkomst till Google API:er och tjänster som är reserverade för Googles användning. Chrome Sync är det mest anmärkningsvärda av dessa API:er. Specifikt gäller detta google_default_client_id och google_default_client_secret.
I praktiken innebär detta att en användare skulle kunna få tillgång till sina personliga Chrome Sync-data (som bokmärken) inte bara med Chrome, utan också med en icke-Google, Chromium-baserad webbläsare. Observera att användare endast skulle kunna få åtkomst till sina egna Chrome Sync-data, och att endast en liten del av användarna av webbläsare baserade på Chromium påverkades. Vi har ingen anledning att tro att användardata missbrukats eller åtkommits av någon annan än användarna själva.
Som en del av Googles ansträngningar för att förbättra användardatasäkerhet tar vi bort åtkomsten från Chromium och derivat av Chromium OS som använde google_default_client_id och google_default_client_secret i sin byggkonfiguration till Google-exklusiva API:er från och med den 15 mars 2021. Vägledning för leverantörer av produkter baserade på Chromium är tillgänglig på Chromium-wikin.
Vad innebär detta för mina användare?
Användare av produkter som felaktigt använder dessa API:er kommer att märka att de inte längre kan logga in på sina Google-konton i dessa produkter.
För användare som har nått Google-funktioner (som Chrome Sync) genom en tredjeparts webbläsare baserad på Chromium kommer deras data fortsätta att vara tillgängliga i deras Google-konto, och data som de har lagrat lokalt kommer att fortsätta vara tillgängliga lokalt.
Som alltid kan användarna se och hantera sina data via Google Chrome, Chrome OS och/eller på sidan Min Google-aktivitet, och de kan även ladda ner sina data från sidan Google Takeout, och/eller ta bort dem från denna sida.
Vad behöver jag göra?
För att undvika störningar, följ instruktionerna för konfiguration och byggande av derivat av Chromium på Chromium Wiki (länken ges ovan).
Möjliga sätt att implementera detta är:
Att ta bort google_default_client_id och google_default_client_secret från din byggkonfiguration.
Att skicka flaggan —allow-browser-signin=false vid start.
Dina projekt som kan påverkas av denna förändring listas nedan:
Arch Linux Chromium (arch-linux-chromium)
Om du har några frågor eller behöver hjälp, vänligen kontakta embedd…@chromium.org.
Med vänlig hälsning,
Google Chrome-teamet
Källa: linux.org.ru
