O Google continua a reforçar a proteção do Chrome e agora adicionou uma nova proteção contra o roubo de contas no navegador, que foi pensada para impedir que cibercriminosos reutilizem noutro computador os dados de uma sessão roubada. A novidade já está em disponibilização gradual para Windows e macOS.
A ferramenta chama-se Device Bound Session Credentials (DBSC), ou Credenciais de Sessão Vinculadas ao Dispositivo, e começa também a ser utilizada pelo Google Workspace.
Nova proteção dificulta roubo de contas sem precisar da palavra-passe
Um dos métodos utilizados por programas maliciosos conhecidos como Infostealers consiste em roubar os chamados cookies de sessão do navegador.
Estes pequenos ficheiros permitem que um site reconheça que já estás autenticado. Se forem roubados, um atacante pode, em alguns casos, reutilizá-los para entrar numa conta sem precisar de saber a palavra-passe.
É precisamente aqui que entra o DBSC. Com a nova tecnologia, a sessão passa a ficar associada através de criptografia ao dispositivo onde foi iniciada. No Windows, essa ligação utiliza o TPM, um componente de segurança do computador que guarda chaves criptográficas de forma protegida.
Como explica o site Security Boulevard, o DBSC ainda faz com que o Chrome utilize cookies com duração mais curta. Para os renovar, o navegador precisa de provar ao servidor que continua a possuir uma chave privada guardada naquele dispositivo.
Assim, mesmo que um criminoso consiga roubar o cookie, não terá a chave necessária para renová-lo noutro computador. O dado roubado acaba por expirar e torna-se inútil.
Segundo o Google, os testes iniciais desta tecnologia já mostraram uma redução significativa no roubo de sessões protegidas pelo DBSC.
Proteção funciona automaticamente e preserva a privacidade
Todo o processo de verificação das chaves e renovação dos cookies acontece em segundo plano, sem exigir ações adicionais do utilizador.
O Google afirma ainda que cada sessão utiliza uma chave diferente, evitando que os sites usem esta tecnologia para acompanhar a atividade de uma pessoa entre diferentes páginas.
No entanto, a proteção não resolve todos os cenários. O Security Boulevard explica que, se um atacante já tiver controlo total do navegador quando a sessão é criada, ainda poderá existir margem para contornar algumas destas medidas.
Mesmo assim, o DBSC dificulta bastante o roubo de uma sessão num computador e reutilizá-la imediatamente noutro dispositivo - um dos ataques mais comuns contra navegadores.
Atualiza o Chrome para as versões mais recentes
De acordo com a página de ajuda do Chrome Enterprise e Education, o DBSC está a ser disponibilizado gradualmente no Chrome para Windows a partir da versão 145 e para o macOS a partir da versão 147.
Para reduzir o risco de ataques que exploram sessões roubadas, é recomendável manter o navegador atualizado para esta versão ou para uma mais recente.
Para atualizar o seu Google Chrome:
-
Clique nos três pontos no canto superior direito (ao lado da sua imagem de utilizador);
-
Selecione “Definições”;
-
Siga para “Acerca do Chrome”, onde será exibida a versão atual do navegador e atualizações disponíveis para instalar.
