Мы рады сообщить, что в Chrome 145 для Windows теперь доступны учетные данные сеанса, привязанные к устройству (DBSC), что предоставляет новый способ защиты пользователей от кражи файлов cookie.
Сессионные файлы cookie уже давно являются целью для злоумышленников. Кража файлов cookie позволяет злоумышленнику выдать себя за пользователя и получить доступ к его учетным записям. DBSC помогает защитить пользовательские сессии, привязывая их к устройству, на котором они используются. Он криптографически связывает сессии аутентификации с устройством, создавая пару открытого/закрытого ключей на устройстве. Chrome в Windows защищает эти ключи на аппаратном уровне с помощью модуля доверенной платформы (TPM).
С помощью DBSC можно проверить, находится ли пользователь на одном и том же устройстве на протяжении всей сессии, запросив подтверждение того, что браузер по-прежнему располагает закрытым ключом. Это значительно затрудняет злоумышленникам использование украденных файлов cookie, поскольку у них, как правило, нет доступа к закрытому ключу на устройстве пользователя.
Как работает DBSC
DBSC разработан для простой интеграции. Когда пользователь входит в систему, вы можете инициировать DBSC, отправив HTTP-ответ с заголовком Secure-Session-Registration . Этот заголовок сообщает браузеру о необходимости обратиться к конечной точке регистрации на вашем сайте, используя открытый ключ для сессии. Ваша конечная точка регистрации должна затем сохранить этот открытый ключ и ответить конфигурацией сессии для установления связанной сессии.
После привязки сессии, когда срок действия привязанного cookie-файла истекает, Chrome свяжется с предоставленной вами конечной точкой обновления. На этой конечной точке вы можете запросить у браузера подтверждение того, что он по-прежнему обладает закрытым ключом, связанным с сессией. Если запрос пройден успешно, вы можете выдать новый cookie-файл для аутентификации других запросов. Если же запрос не пройден, например, если злоумышленник пытается использовать украденный cookie-файл на другом устройстве без доступа к TPM, вы можете отклонить запрос.
Данный протокол не требует внесения изменений в ваши потоки аутентификации, за исключением этих двух конечных точек.
Для получения более подробной информации о реализации DBSC см. руководство разработчика по учетным данным сеанса, привязанным к устройству .