Google sichert Chrome mit Device-Bound Session Credentials gegen Session-Hijacking
Google beginnt, eine neue Sicherheitsfunktion in Chrome einzuführen, die es Angreifern erheblich erschweren soll, Konten zu übernehmen, indem sie Session-Cookies stehlen. Die Technologie, bekannt als Device-Bound Session Credentials, bindet eine authentifizierte Sitzung an das Gerät, von dem aus der Benutzer angemeldet ist.
Das Problem des Session-Hijacking
Wenn ein Benutzer sich bei einer Webseite anmeldet, speichert der Dienst in der Regel ein Cookie im Browser, um die Sitzung aufrechtzuerhalten. Gelangt Malware in den Besitz dieses Cookies, kann ein Angreifer versuchen, es in einem anderen Browser zu laden und so auf das Konto zuzugreifen, ohne das Passwort erneut eingeben oder die Zwei-Faktor-Authentifizierung überwinden zu müssen.
Wie Device-Bound Session Credentials funktionieren
Chrome fügt nun eine zusätzliche Sicherheitsprüfung hinzu. Während der Sitzungsaufbau generiert der Browser einen kryptografischen privaten Schlüssel und speichert ihn im geschützten Hardware des Geräts. Unter Windows wird der Trusted Platform Module (TPM) verwendet, während auf Apple-Geräten der Secure Enclave zum Einsatz kommt. Dieser private Schlüssel wird niemals direkt dem Browser oder dem Betriebssystem zugänglich gemacht. Die kompatible Webseite behält den entsprechenden öffentlichen Schlüssel und kann Chrome auffordern, nachzuweisen, dass es noch Zugriff auf den privaten Schlüssel hat. Bei Bedarf der Sitzungserhaltung oder -erneuerung muss der Browser einen kryptografischen Nachweis signieren. Ein von einem Angreifer kopiertes Cookie würde diese Prüfung nicht mehr bestehen können.
Sicherheitsexperte Scott Helme erklärte gegenüber Ars Technica, dass der TPM oder der Secure Enclave den privaten Schlüssel innerhalb des Geräts halten, sodass ein Angreifer zwar das Cookie stehlen kann, das kryptografische Problem jedoch nicht lösen kann, ohne Zugriff auf den geschützten Schlüssel zu haben.
Zusätzliche Schutzmaßnahmen
Die Funktion ist darauf ausgelegt, Session-Hijacking-Angriffe zu bekämpfen. Infostealer können Cookies aus kompromittierten Browsern extrahieren, während bestimmte Phishing-Techniken es Angreifern ermöglichen können, authentifizierte Sitzungen abzufangen. Google kombiniert die gerätegebundenen Schlüssel mit kurzlebigen Cookies, während Chrome die Sitzungsaktualisierung automatisch im Hintergrund verwaltet.
Verfügbarkeit
Die Funktion ist derzeit nur eingeschränkt verfügbar. Sie ist in Chrome 147 für Windows und Chrome 150 für macOS vorhanden, jedoch nur für einen Teil der Benutzer. Benutzer können überprüfen, ob der Schutz aktiviert ist, über die Entwicklertools von Chrome.