In questo articolo Indice dei contenuti 2 sezioni
Chrome ha appena aggiunto una protezione che potrebbe cambiare parecchio le cose sul fronte dei furti di account, in particolare contro quella tecnica che negli ultimi anni si è diffusa proprio mentre gli utenti si abituavano a difese più solide come l’autenticazione a due fattori e le passkey. Il nome tecnico è Device Bound Session Credentials, abbreviato in DBSC, e l’idea di fondo è semplice da spiegare anche a chi non mastica sicurezza informatica tutti i giorni. Il browser genera una chiave crittografica unica e la chiude dentro una specie di cassaforte fisica che si trova nel silicio del dispositivo, non in un file qualunque sul disco.
Su Windows quella cassaforte si chiama TPM, sigla di Trusted Platform Module. Su macOS e iOS il nome è secure enclave, mentre su altre piattaforme cambia ancora la denominazione, ma la sostanza resta quella. Le versioni recenti di Chrome per Windows e macOS generano appunto una chiave che finisce lì dentro, in un’area che il resto del sistema non può leggere liberamente. È un dettaglio che sembra minore, però è tutto il punto della faccenda.
Chrome: perché i cookie di sessione sono diventati il bersaglio preferito
Il bersaglio di questa nuova difesa sono i cookie di sessione, cioè quelle stringhe di caratteri che i siti web salvano nel browser dopo che l’accesso è andato a buon fine. Servono a rendere la navigazione fluida sui servizi che richiedono autenticazione. Senza di loro bisognerebbe reinserire le credenziali a ogni pagina aperta, cosa che nessuno accetterebbe. Il server, dopo il primo accesso riuscito, imposta un cookie di sessione che funziona come una prova: questo utente si è già identificato, lasciatelo passare.
Il problema nasce esattamente da questa comodità. Se qualcuno riesce a rubare quel cookie, ottiene la stessa prova senza aver mai visto una password. Ed è qui che la storia diventa interessante, perché il furto dei cookie di sessione aggira in un colpo solo tutte le barriere che gli utenti hanno faticosamente adottato negli ultimi anni. Password complicate, codici temporanei, chiavi crittografiche moderne: niente di tutto questo entra in gioco se il criminale si presenta con una sessione già aperta e valida.
Come cambia la partita con le chiavi legate all’hardware
Il meccanismo pensato da Google ribalta la logica. Legando la sessione a una chiave che vive dentro il TPM o nella secure enclave, il cookie da solo non basta più. La sessione resta ancorata al dispositivo fisico su cui è nata, e un cookie copiato altrove perde gran parte del suo valore perché manca il pezzo che non si può portare via facilmente. La chiave, semplicemente, non esce dalla sua cassaforte hardware.
È una differenza sostanziale rispetto alle protezioni tradizionali. L’autenticazione a due fattori e le passkey proteggono benissimo il momento del login, ma non fanno molto per quello che accade dopo, quando la sessione è già attiva e viaggia sotto forma di cookie. DBSC interviene proprio in quella zona grigia, quella che gli attaccanti hanno imparato a sfruttare mentre le difese si irrobustivano altrove.
La disponibilità, al momento, riguarda le versioni recenti di Chrome su Windows e macOS, dove il browser produce e conserva la chiave nella componente hardware dedicata. Le altre piattaforme dispongono di meccanismi analoghi con nomi diversi, e il principio di funzionamento rimane il medesimo: la chiave crittografica resta chiusa nel silicio del dispositivo, fuori dalla portata di chi tenta di prelevarla.
