Google Chrome ganha “blindagem” contra roubo de contas

Cookies de sessão são muito úteis. Eles permitem que um site reconheça que diferentes requisições pertencem ao seu computador, te mantendo autenticado ali. Mas tamanha praticidade tem um preço: não é incomum que cibercriminosos tentem “sequestrar” contas usando justamente cookies de sessão. É por isso que o Google adicionou uma proteção no Chrome que previne esse tipo de ação maliciosa.

O novo recurso é chamado de Device Bound Session Credentials (DBSC), ou “Credenciais de Sessão Vinculadas ao Dispositivo”, em tradução livre. Começa assim: quando você faz login em um site compatível e este cria um cookie de sessão, um par de chaves criptográficas exclusivo é gerado pelo navegador.

A chave privada desse par é então armazenada em um chip de segurança no computador do usuário, quando disponível — o chip TPM em PCs com Windows ou o Secure Enclave em Macs.

Que diferença isso faz? Bom, se um cookie de sessão for obtido por um hacker por qualquer meio que seja (com um malware) e transferido para outro computador para que a conta do usuário seja invadida, o acesso não será permitido, pois a máquina que recebeu o cookie não tem a chave criptográfica gerada via DBSC.

Isso porque a chave pública do par gerado fica armazenada em servidores web. Quando uma requisição de acesso é feita a um desses servidores, ele verifica o cookie de sessão e responde com um desafio de autenticação.

O resultado desse desafio só pode ser assinado pela chave privada armazenada pelo TPM ou Secure Enclave. Como a chave não está disponível no computador do invasor, o acesso indevido é recusado.

Fonte: Tecnoblog