Тази нова функция в Google Chrome буквално ще съсипе бизнеса на хакерите

В най-новата версия на Google Chrome е добавена нова функция за сигурност, насочена към борбата с кражбата на потребителски данни.

Технологията, наречена Device Bound Session Credentials (DBSC) обещава да затрудни значително хакерите, които искат да откраднат бисквитките за достъп до потребителски акаунти.

Бисквитките са файлове, които уебсайтовете използват, за да запомнят информация за посещенията и предпочитанията на потребителя, както и за автоматично влизане в системите. Проблемът се състои в това, че хакерите, използващи зловреден софтуер могат да откраднат тези бисквитки. По този начин те могат да заобикалят заявките за многофакторно удостоверяване (MFA) и превземат чужди акаунти.

Удостоверенията за сесии, обвързани с устройство включват криптографско обвързване на бисквитката за удостоверяване с конкретното устройство на потребителя. Това се постига чрез създаване на уникална двойка публичен/частен ключ с помощта на чип Trusted Platform Module (TPM), който не може да бъде експортиран и се съхранява по сигурен начин на устройството на потребителя. По този начин, дори и бисквитката да бъде открадната, хакерът няма да може да я използва за достъп до акаунти.

ТРМ пpeдcтaвлявa oтдeлeн xapдyepeн чип нa дъннaтa плaтĸa. Идeятa e тoй дa oбpaбoтвa вaжнa и ĸpиптиpaнa инфopмaция. Чипът имa мнoжecтвo физичecĸи мexaнизми, ĸoитo дa пpeдпaзвaт oт oпити зa aтaĸи и cъoтвeтнo дa гapaнтиpaт мaĸcимaлнa cгиpyнocт нa ĸpиптoгpaфcĸитe ĸлючoвe.

От Google отбелязват, че новата функция ще наруши обичайните действия на хакерите, тъй като откраднатите бисквитки вече няма да имат стойност.

Нападателите ще трябва да действат локално на устройството. Това значително ще улесни откриването и премахването на зловреден софтуер както от антивирусния софтуер, така и от управляваните корпоративни устройства.

В момента функцията е в етап на прототип, но вече е налична за тестване в базираната на Chromium версия на операционните системи Windows, Linux и macOS. За да тествате, трябва само да въведете „chrome://flags/“ в адресната лента и да активирате специалния флаг „enable-bound-session-credentials“.

DBSC работи по такъв начин, че сървърът може да започне нова сесия с браузъра и да я свърже с публичен ключ, съхраняван на устройството на потребителя. Всяка сесия е защитена с уникален ключ, като се запазва поверителността на потребителя. Сървърът получава само публичния ключ за последваща проверка. Технологията не позволява на сайтовете да проследяват потребителя между различни сесии на едно и също устройство. Създадените ключове могат да бъдат изтрити по всяко време.

Очаква се новата функция за сигурност да се поддържа от около половината от всички настолни устройства на Chrome и ще бъде напълно съгласувана с постепенното премахване на бисквитките oт трети страни в Chrome. От Chrome заявиха, че след пълното им въвеждане потребителите и корпоративните потребители автоматично ще получат подобрена сигурност за своите акаунти в Google.