Google sta rendendo molto più difficile il riutilizzo dei cookie di sessione rubati grazie a Device Bound Session Credentials (DBSC), una tecnologia che lega crittograficamente la sessione al dispositivo su cui è stato effettuato l’accesso.
La funzione è generalmente disponibile su Windows con Chrome 146 e Google ha già avviato l’espansione verso macOS, rendendo i cookie di sessione praticamente inutilizzabili se copiati su un’altra macchina.
Perché i cookie rubati sono un problema
I cookie di sessione sono file che i siti web usano per ricordare che un utente ha già effettuato il login, evitando di chiedere password o secondo fattore a ogni pagina. Gli infostealer, malware specializzati nel raccogliere dati dai browser, possono copiare questi cookie e permettere a un aggressore di accedere all’account da un altro dispositivo senza dover superare l’autenticazione iniziale. Anche con password robuste e MFA attivo, il furto di sessione avviene dopo il login, sfruttando un token già autorizzato che resta valido per ore o giorni.
DBSC introduce una coppia di chiavi crittografiche associata alla sessione: la chiave privata viene generata e conservata in un componente sicuro del dispositivo, come il TPM su Windows o il Secure Enclave su macOS, e non può essere esportata. Il server memorizza invece la chiave pubblica e, quando il cookie di sessione deve essere rinnovato, chiede a Chrome di dimostrare il possesso della chiave privata tramite una prova crittografica. Un cookie copiato su un’altra macchina non supera questa verifica perché manca della chiave privata originale, rendendo la sessione rubata rapidamente inutilizzabile.
