Chrome bổ sung cơ chế bảo vệ phiên đăng nhập gắn với thiết bị
"Google Chrome has introduced device-bound session credentials (DBSCs), a new protection designed to reduce account takeovers caused by session cookie theft. DBSCs bind session authentication to a device-resident private key stored in hardware such as a TPM or secure enclave, so stolen cookies cannot be reused without the device key; the feature is currently limited to Chrome 147 on Windows and Chrome 150 on macOS for a small set of users."
Giảm rủi ro cookie theft và account takeover; tăng khả năng chống lại infostealer và adversary-in-the-middle. Tác dụng phụ thuộc vào việc DBSCs được bật và ứng dụng web có hỗ trợ.
Có thể cải thiện an toàn phiên đăng nhập cho người dùng doanh nghiệp, nhưng hiện phạm vi triển khai còn hẹp. Cần chuẩn bị cho kiểm thử tương thích và theo dõi tác động tới quy trình xác thực.
Google Chrome đã giới thiệu device-bound session credentials (DBSCs), một cơ chế mới nhằm giảm nguy cơ chiếm đoạt tài khoản do đánh cắp session cookie. Thay vì chỉ dựa vào cookie phiên, DBSCs gắn xác thực phiên với khóa riêng lưu trên thiết bị, được bảo vệ bởi phần cứng như TPM trên Windows hoặc Secure Enclave trên macOS và iOS.
Cách tiếp cận này giúp cookie bị lấy cắp không thể được dùng lại trên thiết bị khác nếu không có khóa tương ứng. Theo mô tả kỹ thuật, máy chủ sẽ gửi thử thách xác thực và trình duyệt phải ký phản hồi bằng khóa nằm trong phần cứng; nếu không có khóa riêng, yêu cầu sẽ bị từ chối.
Hiện DBSCs mới được triển khai giới hạn trong Chrome 147 trên Windows và Chrome 150 trên macOS, chỉ áp dụng cho một nhóm người dùng nhỏ để thử nghiệm. Quản trị viên và đội an ninh nên theo dõi khả năng hỗ trợ của ứng dụng web nội bộ, đồng thời tiếp tục duy trì các biện pháp như MFA, giám sát đăng nhập bất thường và kiểm soát thiết bị đầu cuối. Đây là lớp bảo vệ bổ sung, không thay thế hoàn toàn các biện pháp phòng thủ hiện có.