Admin
Администратор
Кража сессий через куки-файлы браузера стала одной из самых распространённых техник взлома. Google нашла способ сделать украденные куки бесполезными.
Новая функция Device Bound Session Credentials привязывает авторизацию к конкретному устройству, используя криптографию и аппаратные модули безопасности.
Google выпустила функцию Device Bound Session Credentials для защиты от кражи куки-файлов. Теперь авторизация привязывается к устройству через криптографические ключи, что делает украденные куки бесполезными. Приватный ключ хранится в изолированной среде, такой как Trusted Platform Module на Windows или Secure Enclave на macOS. Сервер выдаёт короткоживущие куки, которые принимаются только при наличии соответствующего приватного ключа. Это значительно снижает риск атак через кражу сессий. Функция уже доступна пользователям Chrome на Windows, а поддержка macOS появится в следующих релизах. Google тестировала систему с 2024 года и отмечает снижение числа атак. Архитектура разработана совместно с Microsoft и может стать открытым стандартом для веба.
