Chrome 146 introduce Device Bound Session Credentials per bloccare il furto di cookie

Analisi Tecnica

Device Bound Session Credentials (DBSC) introduce una protezione proattiva contro il furto di sessioni, sfruttando i moduli di sicurezza hardware come il Trusted Platform Module (TPM) su Windows e il Secure Enclave su macOS. Questi componenti generano una coppia di chiavi pubblica/privata univoca e non esportabile, essenziale per il funzionamento del protocollo.

Il meccanismo chiave di DBSC prevede la generazione di cookie di sessione a vita breve, la cui emissione è subordinata alla dimostrazione da parte di Chrome del possesso della chiave privata corrispondente. Questa caratteristica impedisce agli attaccanti di utilizzare cookie esfiltrati, poiché questi diventano inutili non appena scadono.

Il protocollo DBSC è progettato per essere compatibile con le applicazioni web esistenti, richiedendo solo l'aggiunta di endpoint di registrazione e refresh dedicati sui backend dei siti. La complessità della crittografia e la rotazione dei cookie sono gestite in background dal browser, mantenendo l'uso standard dei cookie per l'accesso.

L'architettura DBSC preserva la privacy degli utenti, poiché ogni sessione è supportata da una chiave distinta, impedendo ai siti di correlare le attività dell'utente tra diverse sessioni o siti. Inoltre, il protocollo evita di divulgare identificatori di dispositivo o dati di attestazione al server, limitando lo scambio di informazioni al minimo indispensabile.

Google ha condotto due Origin Trials nel corso dell'ultimo anno per validare l'efficacia di DBSC, coinvolgendo piattaforme come Okta. Questi test hanno fornito feedback essenziali per garantire che il protocollo soddisfi le esigenze diverse della comunità web.

Per i developer interessati a implementare DBSC, è disponibile una guida specifica. Ulteriori dettagli tecnici sono consultabili nella specifica del protocollo e nel relativo repository GitHub, dove è possibile segnalare bug o richiedere nuove funzionalità.

di Mercato/Sicurezza

I cookie, spesso con durate estese, permettono agli attaccanti di accedere agli account degli utenti senza conoscere le password, facilitandone il commercio tra threat actors. Una volta che il malware ha accesso al sistema, può leggere i file e la memoria locali dove i browser memorizzano i cookie di autenticazione, rendendo inefficaci le soluzioni software tradizionali.

Storicamente, la mitigazione del furto di sessioni si basava su complessi algoritmi di rilevamento post-fatto, un approccio reattivo che attaccanti persistenti potevano aggirare. DBSC inverte questa paradigm, passando da un approccio reattivo a uno proattivo, garantendo che i cookie esfiltrati non possano essere utilizzati per accedere agli account degli utenti.

Google ha osservato una significativa riduzione del furto di sessioni per le sessioni protette da DBSC dal lancio della versione preliminare del protocollo nell'ultimo anno.

DBSC è stato progettato come standard aperto web attraverso il processo W3C e l'adozione da parte del Web Application Security Working Group. Google ha collaborato con Microsoft e raccolto feedback da attori chiave del settore per garantire l'efficacia del protocollo.

Più piattaforme web, tra cui Okta, hanno partecipato a due Origin Trials negli ultimi 12 mesi, fornendo feedback essenziale per adattare il protocollo alle diverse esigenze del settore.

Futuri miglioramenti includeranno il supporto per ambienti enterprise complessi, meccanismi per legare le sessioni DBSC a materiali chiave preesistenti e l'estensione delle protezioni a dispositivi senza hardware di sicurezza dedicato.

Consigli Pratici per l'Utente/Investitore

Per i web developer interessati a proteggere gli utenti dal furto di sessioni, Google ha fornito una guida per lo sviluppo con dettagli di implementazione. Inoltre, tutti i dettagli tecnici su DBSC sono disponibili sul spec e sul corrispondente repository GitHub.

DBSC è progettato per preservare la privacy degli utenti. Ogni sessione è supportata da una chiave distinta, impedendo ai siti web di correlare l'attività dell'utente tra diverse sessioni o siti sullo stesso dispositivo. Il protocollo è progettato per essere snello, senza rivelare identificatori di dispositivo o dati di attestazione al server oltre alla chiave pubblica per sessione necessaria per certificare la prova di possesso.

DBSC è un open web standard sviluppato attraverso il processo W3C e l'adozione da parte del Web Application Security Working Group. Google ha collaborato con Microsoft e altri attori del settore per garantire che il protocollo sia efficace e risponda alle diverse esigenze della comunità web.

Future iterazioni di DBSC si concentreranno su miglioramenti come il supporto per l'identità federata, capacità di registrazione avanzate e supporto per dispositivi senza hardware di sicurezza dedicato. Questi miglioramenti mirano a estendere le protezioni a ambienti complessi come quelli enterprise.

Previsione Futura

L'introduzione di Device Bound Session Credentials (DBSC) rappresenta un punto di svolta nella lotta contro il furto di sessioni, ma il suo impatto completo si manifesterà solo con l'adozione diffusa e l'evoluzione tecnologica.

L'espansione del supporto a macOS e l'integrazione con ecosistemi aziendali complessi, come il Single Sign-On (SSO), indicheranno la maturità del protocollo. La capacità di DBSC di mantenere un "chain of trust" in ambienti federati sarà cruciale per le organizzazioni che gestiscono identità multi-domain.

L'introduzione di meccanismi avanzati di registrazione, come l'integrazione con mTLS o hardware security keys, potrebbe rendere DBSC una soluzione ancora più robusta per scenari ad alto rischio.

Infine, l'esplorazione di chiavi software per dispositivi senza hardware dedicato potrebbe estendere la protezione a un pubblico più ampio, riducendo ulteriormente le vulnerabilità legate al furto di sessioni.