Chrome reforça proteção contra roubo de contas por cookies

O Google está ampliando no Chrome uma tecnologia criada para combater uma forma de invasão capaz de comprometer contas mesmo sem o criminoso descobrir a senha da vítima. Chamada Device Bound Session Credentials, ou DBSC, a proteção vincula a sessão autenticada ao dispositivo em que o login foi realizado.

A tecnologia busca impedir que cookies de sessão capturados por programas maliciosos sejam simplesmente transferidos para outro computador e usados para assumir a conta. O Google começou a disponibilizar publicamente o DBSC para usuários do Chrome 146 no Windows e anunciou sua expansão para o macOS.

A medida responde a um problema importante de segurança: depois que uma pessoa faz login, determinados cookies permitem que o site reconheça aquela sessão sem exigir novamente a senha a cada acesso. Quando esses dados são roubados, podem dar ao invasor uma oportunidade de tentar reutilizar uma sessão já autenticada.

Como funciona a nova proteção do Chrome

O DBSC muda a forma como uma sessão pode ser validada. Quando um serviço compatível cria uma sessão vinculada ao dispositivo, o Chrome gera um par de chaves criptográficas exclusivo. A chave privada é protegida pelo próprio equipamento e não deve ser exportada para outro dispositivo.

No Windows, o Chrome pode utilizar o Trusted Platform Module, conhecido como TPM, para proteger essa chave. No macOS, a arquitetura foi projetada para utilizar recursos como o Secure Enclave.

O servidor mantém as informações necessárias para reconhecer a chave correspondente. Periodicamente, o navegador precisa comprovar que continua tendo acesso à chave privada antes de obter ou renovar cookies de sessão de curta duração.

Isso cria uma barreira importante para um criminoso que consiga copiar o cookie para outra máquina. O dispositivo do invasor não possui a chave privada original e, portanto, não consegue apresentar a mesma prova criptográfica exigida pelo serviço.

Roubo de cookies pode contornar proteções de login

O problema enfrentado pelo DBSC é diferente do roubo tradicional de senha. Malwares classificados como infostealers podem tentar capturar dados armazenados ou utilizados pelo navegador depois que o usuário já fez a autenticação. Segundo o Google, esses programas podem extrair cookies existentes ou aguardar novos logins para obter os tokens da sessão.

Esse tipo de ataque é particularmente preocupante porque ocorre depois da etapa de autenticação. Dessa forma, mecanismos como senha forte e verificação em duas etapas continuam importantes, mas não resolvem sozinhos todos os cenários envolvendo uma sessão já estabelecida.

Com o DBSC, o objetivo é reduzir drasticamente a utilidade de um cookie que tenha sido extraído do computador. Como os cookies protegidos podem ter duração curta e dependem da comprovação periódica da chave privada, os dados capturados tendem a perder rapidamente seu valor para o invasor.

Sites também precisam adotar o DBSC

A presença da tecnologia no Chrome não significa que qualquer sessão aberta na internet passe automaticamente a contar com a proteção.

O site ou serviço precisa implementar suporte ao DBSC em sua infraestrutura. O protocolo permite que os servidores solicitem ao navegador a criação de uma sessão vinculada e realizem posteriormente a renovação mediante uma prova criptográfica.

Para usuários, a operação é projetada para acontecer em segundo plano, sem acrescentar uma nova etapa manual a cada acesso. Já empresas e desenvolvedores precisam adaptar seus sistemas de autenticação para aproveitar a tecnologia.

O projeto também está sendo desenvolvido como um padrão aberto no âmbito da W3C, com participação de outras empresas da indústria. O objetivo é permitir que a abordagem seja implementada além dos serviços do próprio Google.

Proteção não elimina a necessidade de cuidados

O DBSC torna o reaproveitamento de cookies roubados mais difícil, mas não transforma o computador em um ambiente imune a ataques.

Malwares instalados no próprio dispositivo ainda representam uma ameaça e podem tentar capturar informações, modificar o sistema ou executar outras ações enquanto permanecem ativos. A proteção também depende do suporte oferecido pelo navegador, pelo hardware e pelo serviço utilizado.

Por isso, manter o Chrome e o sistema operacional atualizados, desconfiar de arquivos desconhecidos e utilizar mecanismos adicionais de autenticação continuam sendo práticas importantes.

A diferença é que o Chrome passa a contar com uma camada projetada especificamente para um tipo de ataque que se tornou relevante justamente por explorar credenciais depois que o usuário já realizou o login.