Google Chrome ganha “blindagem” contra roubo de contas

Cookies de sessão são muito úteis. Eles permitem que um site reconheça que diferentes requisições pertencem ao seu computador, te mantendo autenticado ali. Mas tamanha praticidade tem um preço: não é incomum que cibercriminosos tentem “sequestrar” contas usando justamente cookies de sessão. É por isso que o Google adicionou uma proteção no Chrome que previne esse tipo de ação maliciosa.

O novo recurso é chamado de Device Bound Session Credentials (DBSC), ou “Credenciais de Sessão Vinculadas ao Dispositivo”, em tradução livre. Começa assim: quando você faz login em um site compatível e este cria um cookie de sessão, um par de chaves criptográficas exclusivo é gerado pelo navegador.

A chave privada desse par é então armazenada em um chip de segurança no computador do usuário, quando disponível — o chip TPM em PCs com Windows ou o Secure Enclave em Macs.

Que diferença isso faz? Bom, se um cookie de sessão for obtido por um hacker por qualquer meio que seja (com um malware ) e transferido para outro computador para que a conta do usuário seja invadida, o acesso não será permitido, pois a máquina que recebeu o cookie não tem a chave criptográfica gerada via DBSC.

Isso porque a chave pública do par gerado fica armazenada em servidores web. Quando uma requisição de acesso é feita a um desses servidores, ele verifica o cookie de sessão e responde com um desafio de autenticação.

O resultado desse desafio só pode ser assinado pela chave privada armazenada pelo TPM ou Secure Enclave. Como a chave não está disponível no computador do invasor, o acesso indevido é recusado.

Mas e se o TPM ou Secure Enclave for violado? Bom, não dá para dizer que isso é impossível, mas esses chips foram desenvolvidos para serem “à prova de ataques”, então o risco de captura da chave criptográfica acaba sendo extremamente pequeno.

Sim. Mas a proteção requer o Chrome 146 ou superior para Windows. O Chrome para Mac também já suporta o DBSC, como observa o Ars Technica .

Já a disponibilidade para Linux ainda não é oficial. Até existe uma implementação da tecnologia no código do Chromium para esse sistema, mas ainda em fase de testes.

Google Chrome ganha “blindagem” contra roubo de contas

Publicado originalmente por Tecnoblog. Leia a matéria completa em https://tecnoblog.net/noticias/google-chrome-ganha-blindagem-contra-roubo-de-contas/.