Nowość w Chrome może uratować twoje konto. Nie trzeba nic klikać, ale warto wiedzieć
Czyżby Chrome wprowadził najskuteczniejszą jak dotąd ochronę przed przejęciem kont? Wygląda na to, że tak.
Google wprowadził nową funkcję, która nie tylko brzmi sensownie, ale faktycznie może rozwiązać jeden z najbardziej upierdliwych problemów współczesnego Internetu. Chodzi o device-bound session credentials, czyli DBSC - mechanizm, który ma ukrócić proceder kradzieży ciasteczek sesyjnych. A jeśli nie brzmi to ekscytująco, to radzę nie tracić zainteresowania: w praktyce to jedna z najważniejszych zmian w Chrome od lat.
Dlaczego w ogóle potrzebujemy nowej ochrony?
W ostatnich latach użytkownicy masowo przeszli na dwuskładnikowe logowanie, passkeys, klucze sprzętowe i inne metody, które miały raz na zawsze zakończyć czasy haseł. I faktycznie - klasyczne phishingi stały się mniej skuteczne. Problem w tym, że cyberprzestępcy nie zniknęli. Zamiast tego przerzucili się na kradzież ciasteczek sesyjnych.
Czytaj też:
Ciasteczko sesyjne to taki bilet wstępu do serwisu - jeśli je masz to serwis uznaje, że jesteś zalogowany. Atakujący nie muszą więc kraść hasła ani przełamywać 2FA. Wystarczy, że przejmą ciasteczko, wkleją je do swojej przeglądarki i… voilà, są w środku. Infostealery i ataki adversary-in-the-middle stały się przez to jednym z najpopularniejszych sposobów przejmowania kont.
Nowy mechanizm Chrome działa jak cyfrowa kłódka. Gdy logujesz się na stronę to przeglądarka generuje klucz prywatny i zapisuje go w bezpiecznym miejscu - w TPM na Windowsie albo w Secure Enclave na macOS. To sprzętowe „fortece”, których nie da się ot tak odczytać czy skopiować.
Od tego momentu każde ciasteczko sesyjne musi być podpisane tym kluczem. Jeśli ktoś ukradnie ciasteczko i spróbuje użyć go na innym komputerze to przeglądarka nie będzie w stanie wygenerować poprawnego podpisu. Serwer odrzuci próbę logowania, a atakujący zostanie z niczym.
To proste, eleganckie i - co najważniejsze - skuteczne.
Kiedy to dostaniemy?
Na razie DBSC działa tylko w Chrome 147 na Windowsie i 150 na macOS, i to dla ograniczonej grupy użytkowników. Google testuje funkcję, zanim udostępni ją szerzej. Można sprawdzić, czy działa wchodząc w narzędzia deweloperskie i szukając sekcji „device bound sessions”.
Nie wiadomo jeszcze kiedy DBSC trafi do wszystkich, ani kiedy zobaczymy je w innych przeglądarkach opartych na Chromium. Ale biorąc pod uwagę, że to mechanizm zgodny z filozofią passkeys można się spodziewać, że prędzej czy później stanie się standardem.
Najważniejsze: DBSC nie wymaga od ciebie żadnego działania. Nie musisz instalować wtyczek, klikać dodatkowych okienek ani uczyć się nowych procedur. To ochrona, która działa w tle. I co najważniejsze: uderza w realny problem, który dotyka milionów użytkowników. Kradzież ciasteczek sesyjnych była przez lata takim cichym koszmarem Internetu - czymś, o czym nie mówi się głośno, bo brzmi technicznie i nudno. A jednak to właśnie dzięki takim „nudnym” mechanizmom nasze konta mogą być wreszcie naprawdę bezpieczne.
*Zdjęcie otwierające: Funstock / Shutterstock
Redaktor Spider's Web - ekspert w tematykach Microsoftu i RTV. Lubi oglądać się zarówno za siebie – wspominając przełomowe dokonania w informatyce – jak i przed siebie, będąc nieustannie ciekawym tego, co będzie dalej. Jego zainteresowania to przede wszystkim software: UI/UX, algorytmy, uczenie maszynowe, chmura czy sztuczna inteligencja. Nic dziwnego, że jako specjalizację obrał sobie pilnowanie firmy Microsoft. Uwielbia też sztukę gier i kina, przez co wyrósł na pasjonata sprzętu RTV – a i o technologii wspomnianych gier i filmów ma wiele ciekawego do opowiedzenia. Jego pierwsza obecność w mediach dotyczyła muzyki – współtworzył Overkill.pl. Ciąg dalszy jego rozwoju dotyczył już tylko nowych technologii. Zanim dołączył do zespołu Spider’s Web przez lata współtworzył CHIP.pl i Magazyn CHIP.