Google Chrome blokuje kradzież sesji. Nowa ochrona dla wszystkich użytkowników

Google Chrome blokuje kradzież sesji. Nowa ochrona dla wszystkich użytkowników

Google ogłosiło, że funkcja Device Bound Session Credentials (DBSC) jest już dostępna dla wszystkich użytkowników przeglądarki Chrome. Ma ona na celu uniemożliwienie przejęcia konta nawet wtedy, gdy atakujący zdobędzie pliki cookie sesji. To odpowiedź na rosnącą falę kradzieży sesji, która często omijała wieloskładnikowe uwierzytelnianie.

Jak działa DBSC i dlaczego jest skuteczny?

Kradzież ciasteczek sesyjnych to jedna z najskuteczniejszych metod przejmowania kont. Nawet włączone MFA (Multi-Factor Authentication) nie chroni, gdy atakujący ukradnie już ważny token sesji – mówi się wtedy o ataku „po zalogowaniu”. Google tłumaczy, że DBSC zmienia tę dynamikę: „przechodzi od reaktywnego wykrywania do proaktywnego zapobiegania, zapewniając, że pomyślnie wykradzione ciasteczka nie będą mogły zostać użyte do uzyskania dostępu do kont użytkowników”.

Mechanizm polega na kryptograficznym powiązaniu sesji z konkretnym urządzeniem. Chrome generuje parę kluczy publiczny/prywatny przy użyciu sprzętowego modułu zabezpieczeń – na przykład TPM (Trusted Platform Module) w Windows lub Secure Enclave w macOS. Klucz prywatny nigdy nie opuszcza układu, więc nawet jeśli złośliwe oprogramowanie wykradnie plik cookie, nie będzie w stanie go użyć na innym komputerze.

Jak podkreśla Google w swoim komunikacie, DBSC „wzmacnia bezpieczeństwo konta po zalogowaniu użytkownika i pomaga związać ciasteczko sesji z urządzeniem, z którego użytkownik się uwierzytelnił”. Nawet jeśli na urządzeniu znajduje się malware, funkcja „zmniejsza ryzyko kradzieży sesji i sprawia, że wykorzystanie skradzionych ciasteczek jest znacznie trudniejsze”.

Kogo dotyczy i jak włączyć ochronę?

Funkcja jest domyślnie włączona dla wszystkich klientów Google Workspace, subskrybentów Workspace Individual oraz użytkowników posiadających osobiste konto Google. Google zaznacza, że administratorzy nie mogą wyłączyć DBSC – jest to zmiana systemowa, która ma działać automatycznie.

Nie ma potrzeby ręcznej aktywacji – wystarczy korzystać z Chrome w najnowszej dostępnej wersji. Warto jednak sprawdzić, czy przeglądarka jest aktualna, ponieważ starsze wersje nie zawierają jeszcze tej funkcji. Użytkownicy, którzy chcą mieć pewność, że DBSC działa, mogą wejść w ustawienia Chrome (chrome://settings/security) i upewnić się, że nie mają zablokowanych żadnych krytycznych aktualizacji.

„Jeśli myślisz, że technologia rozwiąże twoje problemy, nie rozumiesz technologii i nie rozumiesz swoich problemów”. Bruce Schneier, parafrazując Rogera Needhama

Dlaczego to ważne w kontekście zagrożeń?

W ostatnich latach grupy zajmujące się kradzieżą informacji, takie jak Lumma i Rhadamanthys, opracowały metody odtwarzania wygasłych ciasteczek Google. Wykorzystywały do tego nieudokumentowany punkt końcowy API OAuth o nazwie „MultiLogin”. Google próbowało wcześniej przeciwdziałać tym atakom, zalecając włączanie Enhanced Safe Browsing i usuwanie malware z urządzeń. Teraz jednak DBSC blokuje samo źródło problemu – bez klucza prywatnego związanego z urządzeniem ofiary, skradzione ciasteczko jest bezużyteczne.

Co to oznacza dla firm i administratorów?

Dla organizacji korzystających z Google Workspace to istotne wzmocnienie bezpieczeństwa bez żadnych dodatkowych kosztów ani konfiguracji. Administratorzy nie muszą wdrażać zmian – ochrona działa automatycznie od momentu uruchomienia nowej wersji Chrome. Jednak warto pamiętać, że DBSC chroni tylko wtedy, gdy użytkownik loguje się przez Chrome na urządzeniu z TPM lub Secure Enclave. Nie zadziała na starszych komputerach pozbawionych takiego układu.

Mimo tej nowej funkcji podstawowe zasady cyberhigieny pozostają w mocy. Aktualizacja oprogramowania, silne hasła i przede wszystkim ostrożność wobec podejrzanych wiadomości wciąż stanowią pierwszą linię obrony. DBSC to dodatkowa warstwa, nie zamiennik.

Co dalej?

Google zapowiada, że DBSC będzie stopniowo rozszerzane na kolejne usługi i platformy. Na razie ochrona dotyczy sesji związanych z kontami Google, ale firma pracuje nad tym, aby standard ten został przyjęty przez innych producentów przeglądarek i dostawców usług internetowych. Warto śledzić komunikaty Google oraz strony takie jak BleepingComputer, które szczegółowo opisują postępy wdrożenia.