Google triển khai Device Bound Session Credentials để bảo vệ cookie
"Google's Device Bound Session Credentials (DBSC) is now generally available on Windows Chrome 146 and coming to macOS, aiming to proactively prevent session theft. DBSC cryptographically binds sessions to a device using hardware security modules like TPM and Secure Enclave, rendering stolen cookies unusable. Early results show a significant reduction in session theft for protected sessions."
DBSC giải quyết vấn đề session theft bằng cách liên kết cookie với thiết bị, ngăn chặn việc sử dụng cookie bị đánh cắp. Đây là một cải tiến đáng kể so với các phương pháp phát hiện sau sự cố hiện tại.
Việc triển khai DBSC có thể giúp các doanh nghiệp giảm thiểu rủi ro mất dữ liệu và thiệt hại uy tín do tấn công đánh cắp cookie. Tuy nhiên, cần có nguồn lực để tích hợp vào hệ thống backend.
Google vừa công bố Device Bound Session Credentials (DBSC) khả dụng trên Chrome 146 cho Windows, và sẽ sớm có trên macOS. DBSC giúp ngăn chặn tình trạng đánh cắp session (phiên làm việc) của người dùng.
Thông thường, kẻ tấn công sẽ cài malware lên máy người dùng để lấy cắp cookie. Cookie này có thể được sử dụng để truy cập tài khoản của người dùng mà không cần mật khẩu, và thường được bán trên thị trường chợ đen. DBSC giải quyết vấn đề này bằng cách liên kết mật mã phiên làm việc với thiết bị thông qua TPM (Trusted Platform Module) trên Windows và Secure Enclave trên macOS. Điều này khiến cookie bị đánh cắp trở nên vô dụng vì không thể sử dụng trên thiết bị khác.
DBSC hoạt động bằng cách tạo cặp khóa công khai/riêng tư độc nhất cho mỗi thiết bị. Khi người dùng đăng nhập, Chrome sẽ chứng minh với máy chủ rằng nó sở hữu khóa riêng tư tương ứng. Máy chủ sẽ cấp cookie ngắn hạn, và cookie này chỉ có giá trị trên thiết bị đã được xác thực. Infostealer malware như LummaC2 sẽ không thể sử dụng cookie đánh cắp được.
Google cho biết, các phiên được bảo vệ bởi DBSC đã ghi nhận sự sụt giảm đáng kể trong số lượng session theft kể từ khi thử nghiệm. Các trang web có thể tích hợp DBSC bằng cách thêm các endpoint đăng ký và làm mới vào backend, trong khi trình duyệt xử lý phần mã hóa phức tạp. Bạn có thể tìm hiểu thêm về cách triển khai tại developer guide.
Câu hỏi thường gặp
Device Bound Session Credentials (DBSC) là gì?
DBSC là một giao thức bảo mật do Google phát triển, giúp liên kết các phiên làm việc (session) với một thiết bị cụ thể thông qua phần cứng bảo mật như TPM hoặc Secure Enclave. Điều này ngăn chặn việc sử dụng cookie bị đánh cắp trên các thiết bị khác.
DBSC hoạt động như thế nào?
DBSC sử dụng cặp khóa công khai/riêng tư được tạo ra bởi phần cứng bảo mật của thiết bị. Chrome chứng minh với máy chủ rằng nó sở hữu khóa riêng tư trước khi nhận cookie, đảm bảo cookie chỉ có giá trị trên thiết bị đó.
DBSC có ảnh hưởng đến quyền riêng tư của người dùng không?
Không. DBSC được thiết kế để bảo vệ quyền riêng tư bằng cách sử dụng một khóa riêng biệt cho mỗi phiên và không chia sẻ thông tin nhận dạng thiết bị với máy chủ.
Góc nhìn của Orange Cloud
Theo chúng tôi, DBSC là một bước tiến quan trọng trong việc bảo vệ tài khoản người dùng, đặc biệt trong bối cảnh các cuộc tấn công đánh cắp cookie ngày càng tinh vi. Các doanh nghiệp Việt Nam có thể cân nhắc tích hợp DBSC để tăng cường bảo mật cho ứng dụng web của mình. Tuy nhiên, việc triển khai đòi hỏi thay đổi ở backend, nên cần đánh giá kỹ lưỡng chi phí và lợi ích.