Chrome introduce credenziali di sessione legate al dispositivo
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Google ha introdotto le device-bound session credentials: una chiave hardware locale impedisce il riuso delle session cookie su altri dispositivi.
Chrome lega le sessioni al dispositivo con le device-bound session credentials (DBSCs) per frenare i takeover basati su cookie rubati1.
Google descrive le DBSCs così: il browser genera una chiave di cifratura unica e la custodisce in un modulo sicuro dell’hardware. Su Windows il Trusted Platform Module (TPM). Su macOS e iOS la Secure Enclave. Altri sistemi usano componenti con funzioni analoghe1.
L’obiettivo è mirato. Gli attaccanti puntano ai cookie di sessione per saltare password, passkey e altri controlli al login. I siti impostano quel cookie dopo l’autenticazione. Finché resta valido, evita di chiedere nuove credenziali. Se lo rubano, possono assumere l’identità dell’utente senza rifare il login. Le DBSCs vincolano la sessione al dispositivo che ha creato la chiave: un cookie copiato altrove perde valore1.
Il meccanismo sposta il segreto dal software al silicio. Chrome crea la chiave nel dispositivo e la tiene nel “fortino” dell’hardware. Quando il server valida la sessione, il browser prova il possesso della chiave legata a quel device. Il tracciato resta nello stesso perimetro fisico. Questo alza la barriera per chi tenta l’abuso dei cookie di sessione1.
Ars Technica definisce la novità “forse la migliore protezione finora” contro i takeover di account basati su sessione. La formulazione è prudente, ma indica una direzione chiara: ridurre l’utilità dei cookie trafugati fuori dal dispositivo legittimo1.
Il contesto spiega la mossa. L’adozione diffusa di fattori aggiuntivi ha reso meno redditizi i furti di password. La minaccia si è spostata sui token post-login. Il furto del cookie resta invisibile all’utente e spesso anche ai sistemi di difesa. Legare la sessione all’hardware rompe questa catena di attacco1.
Restano due note operative. Primo: la protezione si appoggia a componenti di sicurezza già presenti nei dispositivi. Su Windows è il TPM, su macOS e iOS è la Secure Enclave. La funzione ha quindi basi diverse a seconda della piattaforma, ma segue lo stesso principio di chiave custodita nel silicio1. Secondo: la fonte non indica la versione esatta di Chrome né un calendario di rollout. Cita “versioni recenti” su Windows e macOS in cui il browser già genera e conserva la chiave nel modulo sicuro del dispositivo1.
Per gli utenti il segnale è semplice: aggiornare Chrome e usare dispositivi con i moduli di sicurezza attivi massimizza l’effetto della novità. I dettagli tecnici e gli esempi d’uso sono nella fonte citata1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.