谷歌正在为 Chrome 开发一项新的安全功能，名为 设备绑定会话凭证 (DBSC)，旨在防止攻击者使用窃取的会话 cookie 来获取用户帐户的访问权限。
当用户登录 Web 资源时，浏览器会存储会话（即身份验证）cookie。 获得它们后，攻击者可以通过将窃取的访问令牌注入新的 Web 会话来发起“传递 cookie”攻击，从而“冒充”原始用户，而无需进行身份验证。
破坏 cookie 盗窃生态系统
为一个 尽管 现在，攻击者一直在窃取会话 cookie（通常使用恶意软件），以便他们可以绕过多因素身份验证。
DBSC 打算将身份验证会话绑定到设备，这样被盗的 cookie 对于攻击者来说就变得毫无价值，除非他们能够在设备上进行本地操作。 但如果他们被迫这样做，他们的存在更有可能被发现，谷歌 Chrome 反滥用团队的高级软件工程师克里斯蒂安·蒙森 (Kristian Monsen) 表示。
“在较高层面上，DBSC API 允许服务器与设备上的特定浏览器启动新会话。 当浏览器启动新会话时，它会在设备本地创建一个新的公钥/私钥对，并使用操作系统以难以导出的方式安全地存储私钥，”他解释道。
“Chrome 将使用可信平台模块 (TPM) 等设施来进行密钥保护，这些设施正变得越来越普遍，并且是 Windows 11 所必需的，我们也在考虑支持软件隔离的解决方案。”
每个会话都将与一个公钥相关联。 服务器可以检查访问资源的用户/设备是否拥有私钥，并将在整个会话生命周期中执行此操作，以确保会话仍在同一设备上。
“为了从延迟的角度实现这一点并帮助迁移现有的基于 cookie 的解决方案，DBSC 使用这些密钥通过网站上由 DBSC 定义的专用端点来保持短期 cookie 的新鲜度。 这发生在常规网络流量的带外，减少了对旧网站和应用程序所需的更改，”Monsen 补充道。
没有在线跟踪
Monsen 保证，这些密钥不能用于跟踪在线用户，因为 DBSC 不允许站点将同一设备上不同会话的密钥关联起来。 此外，用户可以随时删除密钥。
“DBSC 将完全配合 Chrome 中第三方 cookie 的逐步淘汰。 在第三方环境中，DBSC 将具有与第三方 cookie 相同的可用性和/或分段，具体取决于用户偏好和其他因素。 这是为了确保一旦第三方 cookie 被淘汰，DBSC 不会成为新的跟踪向量，同时也确保此类 cookie 能够同时得到充分保护。” 著名的。
“如果用户完全选择退出 Cookie、第三方 Cookie 或特定网站的 Cookie，那么在这些情况下也会禁用 DBSC。”
DBSC：开放网络标准？
此功能仍处于工作和实验阶段，仅限于某些运行 Chrome Beta 的用户，并且 Google 的 计划 是在今年年底之前让开发者可以试用。
谷歌还希望 DBSC 成为一个开放的网络标准。
“许多服务器提供商、Okta 等身份提供商 (IdP) 以及 Microsoft Edge 等浏览器都表示对 DBSC 感兴趣，因为他们希望保护用户免遭 Cookie 盗窃。 我们正在与所有感兴趣的各方合作，以确保我们能够以保护隐私的方式提出适用于不同类型网站的标准，”蒙森分享道。
1712123593
2024-04-03 05:30:18
#Google #计划如何让被盗的会话 #cookie #对攻击者毫无价值
