Google ha introdotto in Chrome le Device-Bound Session Credentials (DBSC), una protezione progettata per neutralizzare il furto dei cookie di sessione, una forma di dirottamento degli account sempre pi� diffusa. La misura lega le credenziali di sessione a una chiave di crittografia memorizzata direttamente nell'hardware del dispositivo, rendendo il cookie del tutto inutilizzabile se copiato su una macchina diversa.
Il meccanismo sfrutta l'hardware di sicurezza integrato nei dispositivi moderni: il TPM (Trusted Platform Module) su Windows e la Secure Enclave su macOS e iOS. Questi componenti generano e isolano una chiave di crittografia privata che non pu� essere estratta. Quando si naviga su un sito supportato, il server memorizza la chiave pubblica e invia una sfida di autenticazione (challenge) incorporata nel cookie di sessione: la risposta (authentication assertion) viene accettata solo se firmata dalla chiave privata custodita nel chip di sicurezza del dispositivo.
La necessit� delle DBSC � cresciuta insieme all'adozione dell'autenticazione a due fattori (2FA) e delle passkey. Poich� il semplice possesso della password non basta pi�, il phishing tradizionale ha perso efficacia. Di conseguenza, gli aggressori hanno iniziato a fare affidamento su malware infostealer e attacchi adversary-in-the-middle per sottrarre i cookie di sessione e incollarli nei propri browser, ottenendo temporaneamente lo stesso accesso del legittimo proprietario.
