Resumo
- Google adicionou uma proteção no Chrome chamada Device Bound Session Credentials (DBSC) para prevenir o roubo de contas por meio de cookies de sessão;
- DBSC gera um par de chaves criptográficas exclusivo quando um usuário faz login em um site compatível, sendo a chave privada armazenada em um chip de segurança no computador do usuário, como o TPM em PCs com Windows ou o Secure Enclave em Macs;
- a proteção já está ativa no Chrome 146 ou superior para Windows, bem como no Chrome para Mac.
Cookies de sessão são muito úteis. Eles permitem que um site reconheça que diferentes requisições pertencem ao seu computador, te mantendo autenticado ali. Mas tamanha praticidade tem um preço: não é incomum que cibercriminosos tentem “sequestrar” contas usando justamente cookies de sessão. É por isso que o Google adicionou uma proteção no Chrome que previne esse tipo de ação maliciosa.
O novo recurso é chamado de Device Bound Session Credentials (DBSC), ou “Credenciais de Sessão Vinculadas ao Dispositivo”, em tradução livre. Começa assim: quando você faz login em um site compatível e este cria um cookie de sessão, um par de chaves criptográficas exclusivo é gerado pelo navegador.
A chave privada desse par é então armazenada em um chip de segurança no computador do usuário, quando disponível — o chip TPM em PCs com Windows ou o Secure Enclave em Macs.
Que diferença isso faz? Bom, se um cookie de sessão for obtido por um hacker por qualquer meio que seja (com um malware) e transferido para outro computador para que a conta do usuário seja invadida, o acesso não será permitido, pois a máquina que recebeu o cookie não tem a chave criptográfica gerada via DBSC.
Isso porque a chave pública do par gerado fica armazenada em servidores web. Quando uma requisição de acesso é feita a um desses servidores, ele verifica o cookie de sessão e responde com um desafio de autenticação.
O resultado desse desafio só pode ser assinado pela chave privada armazenada pelo TPM ou Secure Enclave. Como a chave não está disponível no computador do invasor, o acesso indevido é recusado.
Mas e se o TPM ou Secure Enclave for violado? Bom, não dá para dizer que isso é impossível, mas esses chips foram desenvolvidos para serem “à prova de ataques”, então o risco de captura da chave criptográfica acaba sendo extremamente pequeno.
O DBSC já está ativo no Chrome?
Sim. Mas a proteção requer o Chrome 146 ou superior para Windows. O Chrome para Mac também já suporta o DBSC, como observa o Ars Technica.
Já a disponibilidade para Linux ainda não é oficial. Até existe uma implementação da tecnologia no código do Chromium para esse sistema, mas ainda em fase de testes.
