„Google Chrome" užrakina slapukus prie aparatinio lusto — pavogti tapo beprasmiška

Metų metus kibernetiniai nusikaltėliai naudojo vieną paprastą triuką: pavogę naršyklės slapuką, jie galėdavo apsimesti jumis be jokio slaptažodžio ar dviejų faktorių autentifikacijos. Dabar „Google" sako, kad ši era baigėsi.

„Google Chrome" funkcija DBSC (Device Bound Session Credentials), po metus trukusių bandymų, nuo šios savaitės pasiekiama visiems naudotojams — tiek „Google Workspace" klientams, tiek asmeninėms paskyroms. Veikimo principas paprastas, bet galingas: sesijos slapukai kriptografiškai susiejami su konkrečiu įrenginiu per aparatinį saugumo lustą.

„Windows" kompiuteriuose tai TPM modulis, „Mac" — „Secure Enclave". Sukuriama unikali viešojo ir privataus rakto pora, kurios negalima nukopijuoti ar pavogti. Net jei kenkėjiška programa pavogs slapuko failą iš jūsų naršyklės, be to paties fizinio įrenginio lusto jis bus bevertis.

Tai esminis pokytis nuo reaktyvios gynybos prie prevencinės. Anksčiau „Google" galėjo tik reaguoti — pavyzdžiui, kai „Lumma" ar „Rhadamanthys" kenkėjiškos programos išmoko atkurti pasibaigusius autentifikavimo slapukus per „MultiLogin" API. Dabar tokie slapukai tiesiog nebeveiks kitame įrenginyje.

Sistemos administratoriams svarbi detalė: DBSC bus įjungtas pagal nutylėjimą visiems „Google Workspace" klientams ir jo išjungti negalima. Individualiems naudotojams funkcija taip pat aktyvuojama automatiškai.