Chrome dostaje nową ochronę. Kradzież ciasteczka nie wystarczy już do przejęcia konta

Google Chrome zyskał nowy mechanizm bezpieczeństwa, który ma utrudnić przejmowanie kont. Funkcja Device-Bound Session Credentials (DBSC), wiąże aktywną sesję użytkownika z konkretnym urządzeniem, dzięki czemu skradzione ciasteczko sesyjne nie powinno już wystarczyć przestępcy do zalogowania się na konto ofiary.

Ciasteczka sesyjne są wykorzystywane przez strony internetowe do zapamiętania, że użytkownik został już poprawnie uwierzytelniony. Dzięki nim nie trzeba ponownie podawać hasła czy korzystać z dodatkowego uwierzytelnienia przy każdym przejściu na kolejną podstronę. Problem pojawia się wtedy, gdy taki plik zostanie przejęty przez złośliwe oprogramowanie typu infostealer lub podczas odpowiednio przygotowanego ataku phishingowego. Cyberprzestępca może wtedy wykorzystać aktywną sesję ofiary i ominąć nawet część zabezpieczeń związanych z 2FA.

Jak działa nowy mechanizm

DBSC ma znacząco utrudnić taki scenariusz. Chrome generuje unikalny klucz kryptograficzny i zapisuje go w zabezpieczonym sprzętowo obszarze urządzenia. W komputerach z Windowsem wykorzystywany jest do tego moduł TPM, natomiast na urządzeniach Apple podobną rolę pełni Secure Enclave. Prywatnego klucza nie można normalnie wyeksportować z tego środowiska.

Google Chrome zyskał nowy mechanizm bezpieczeństwa, który ma utrudnić przejmowanie kont. Funkcja Device-Bound Session Credentials (DBSC), wiąże aktywną sesję użytkownika z konkretnym urządzeniem, dzięki czemu skradzione ciasteczko sesyjne nie powinno już wystarczyć przestępcy do zalogowania się na konto ofiary.

Kiedy serwis obsługujący DBSC chce zweryfikować aktywną sesję, przeglądarka musi odpowiedzieć na żądanie uwierzytelniające przy użyciu klucza znajdującego się na konkretnym sprzęcie. W praktyce przestępca może więc wykraść ciasteczko sesyjne, ale samo przeniesienie go do własnej przeglądarki przestaje wystarczać, ponieważ nie ma dostępu do chronionego klucza potrzebnego do potwierdzenia sesji.

Przypomina to pod pewnymi względami działanie passkeys, gdzie bezpieczeństwo również opiera się na kryptografii klucza publicznego.

Ograniczona dostępność

Na razie rozwiązanie ma jednak ograniczoną dostępność. DBSC jest obsługiwane w Chrome 147 dla Windows oraz Chrome 150 dla macOS, a Google aktywuje funkcję tylko dla części użytkowników. Sugeruje to etap testów przed ewentualnym szerszym wdrożeniem. Nie wiadomo również, kiedy pozostałe przeglądarki bazujące na Chromium zdecydują się na zastosowanie tego mechanizmu.