Nowość w Chrome może uratować twoje konto. Nie trzeba nic klikać, ale warto wiedzieć

Czyżby Chrome wprowadził najskuteczniejszą jak dotąd ochronę przed przejęciem kont? Wygląda na to, iż tak.

Google wprowadził nową funkcję, która nie tylko brzmi sensownie, ale faktycznie może rozwiązać jeden z najbardziej upierdliwych problemów współczesnego Internetu. Chodzi o device-bound session credentials, czyli DBSC – mechanizm, który ma ukrócić proceder kradzieży ciasteczek sesyjnych. A jeżeli nie brzmi to ekscytująco, to radzę nie tracić zainteresowania: w praktyce to jedna z najważniejszych zmian w Chrome od lat.

Dlaczego w ogóle potrzebujemy nowej ochrony?

W ostatnich latach użytkownicy masowo przeszli na dwuskładnikowe logowanie, passkeys, klucze sprzętowe i inne metody, które miały raz na zawsze zakończyć czasy haseł. I faktycznie – klasyczne phishingi stały się mniej skuteczne. Problem w tym, iż cyberprzestępcy nie zniknęli. Zamiast tego przerzucili się na kradzież ciasteczek sesyjnych.

Ciasteczko sesyjne to taki bilet wstępu do serwisu – jeżeli je masz to serwis uznaje, iż jesteś zalogowany. Atakujący nie muszą więc kraść hasła ani przełamywać 2FA. Wystarczy, iż przejmą ciasteczko, wkleją je do swojej przeglądarki i… voilà, są w środku. Infostealery i ataki adversary-in-the-middle stały się przez to jednym z najpopularniejszych sposobów przejmowania kont.

Nowy mechanizm Chrome działa jak cyfrowa kłódka. Gdy logujesz się na stronę to przeglądarka generuje klucz prywatny i zapisuje go w bezpiecznym miejscu – w TPM na Windowsie albo w Secure Enclave na macOS. To sprzętowe „fortece”, których nie da się ot tak odczytać czy skopiować.

Od tego momentu każde ciasteczko sesyjne musi być podpisane tym kluczem. jeżeli ktoś ukradnie ciasteczko i spróbuje użyć go na innym komputerze to przeglądarka nie będzie w stanie wygenerować poprawnego podpisu. Serwer odrzuci próbę logowania, a atakujący zostanie z niczym.

To proste, eleganckie i – co najważniejsze – skuteczne.

Kiedy to dostaniemy?

Na razie DBSC działa tylko w Chrome 147 na Windowsie i 150 na macOS, i to dla ograniczonej grupy użytkowników. Google testuje funkcję, zanim udostępni ją szerzej. Można sprawdzić, czy działa wchodząc w narzędzia deweloperskie i szukając sekcji „device bound sessions”.

Nie wiadomo jeszcze kiedy DBSC trafi do wszystkich, ani kiedy zobaczymy je w innych przeglądarkach opartych na Chromium. Ale biorąc pod uwagę, iż to mechanizm zgodny z filozofią passkeys można się spodziewać, iż prędzej czy później stanie się standardem.

Najważniejsze: DBSC nie wymaga od ciebie żadnego działania. Nie musisz instalować wtyczek, klikać dodatkowych okienek ani uczyć się nowych procedur. To ochrona, która działa w tle. I co najważniejsze: uderza w realny problem, który dotyka milionów użytkowników. Kradzież ciasteczek sesyjnych była przez lata takim cichym koszmarem Internetu – czymś, o czym nie mówi się głośno, bo brzmi technicznie i nudno. A jednak to właśnie dzięki takim „nudnym” mechanizmom nasze konta mogą być wreszcie naprawdę bezpieczne.

*Zdjęcie otwierające: Funstock / Shutterstock