Il nuovo muro di sicurezza di Chrome: il blocco hardware di Google può battere gli infostealer?

Tutto inizia con un solo clic: un’email di phishing, un download malevolo o semplicemente sfortuna. All’improvviso, i tuoi account online sono spalancati ai criminali informatici, grazie a un minuscolo file di cui la maggior parte degli utenti non ha mai sentito parlare: il cookie di sessione. Per anni, i malware “info-stealer” hanno sottratto silenziosamente questi preziosi token dai browser, aggirando password e autenticazione a più fattori. Ora Google punta forte su una nuova linea di difesa - Device Bound Session Credentials (DBSC) - ma questo scudo legato all’hardware è davvero la risposta a una delle minacce più persistenti del web?

Come si sbriciola il cookie: l’anatomia del furto di sessione

I cookie di sessione sono i silenziosi guardiani della tua identità digitale. Una volta effettuato l’accesso a un sito, il server consegna al tuo browser un cookie di sessione - un pass digitale che ti permette di passare da una pagina all’altra senza reinserire le credenziali. Ma se un malware sottrae questo file dal tuo dispositivo, gli hacker possono impersonarti all’istante, aggirando anche le difese di accesso più robuste.

Le soluzioni software tradizionali non sono riuscite a fermare questo colpo. Come ammette senza mezzi termini Google, “non esiste un modo affidabile per prevenire l’esfiltrazione dei cookie usando solo software su qualsiasi sistema operativo”. I malware infostealer, come il famigerato LummaC2, sono specializzati nell’estrarre questi cookie - persino dagli archivi del browser cifrati - lasciando utenti e aziende esposti a compromissioni degli account, frodi e violazioni dei dati.

Arriva DBSC: sessioni bloccate all’hardware

Il nuovo approccio di Google, DBSC, mira a rendere inutili i cookie di sessione rubati. Come? Incatenando ogni sessione all’hardware unico del dispositivo, in particolare al Trusted Platform Module (TPM) su Windows o al Secure Enclave su macOS. Quando effettui l’accesso, Chrome genera una coppia di chiavi crittografiche all’interno del chip di sicurezza. La chiave privata non lascia mai il dispositivo; il browser deve dimostrare di possedere questa chiave per aggiornare o usare i cookie di sessione.

Se un malware esfiltra il cookie di sessione ma non il tuo hardware, il server rifiuta immediatamente il cookie rubato. Niente hardware, niente dirottamento - semplice in teoria, formidabile nella pratica.

Privacy by design… e forza dell’industria

DBSC non riguarda solo la sicurezza; è progettato tenendo a mente la privacy. Ogni sessione usa una chiave distinta, impedendo il tracciamento tra siti e riducendo al minimo le informazioni identificative del dispositivo. Google e Microsoft hanno presentato DBSC come uno standard aperto del web, invitando altri produttori di browser e operatori di siti a adottare il protocollo. I primi test con grandi piattaforme come Okta hanno mostrato promettenti riduzioni dei furti di sessione.

Resta il fatto che, per ora, questa protezione è esclusiva per gli utenti Windows su Chrome 146, con il supporto macOS in arrivo. Gli sviluppatori web dovranno aggiornare i propri backend per sfruttare appieno DBSC, ma Google promette che non romperà i frontend esistenti.

La strada davanti: l’hardware avrà la meglio sul malware?

La strategia di Google basata sull’hardware potrebbe segnare un punto di svolta nella sicurezza dei browser, spostando l’equilibrio lontano dalle sole difese software. Ma mentre i criminali informatici si adattano, la corsa agli armamenti continua. Per ora, gli utenti di Chrome possono trovare un po’ di conforto: l’era del cookie di sessione facilmente rubabile potrebbe essere al tramonto - ma nella cybersecurity, nulla resta invulnerabile a lungo.

WIKICROOK

• Cookie di sessione: Un cookie di sessione è un file temporaneo nel tuo browser che ti mantiene connesso a un sito; se rubato, può permettere ad altri di accedere al tuo account.
• Malware infostealer: Il malware infostealer è un software malevolo che raccoglie di nascosto informazioni sensibili, come password e dati finanziari, dai computer infetti.
• Trusted Platform Module (TPM): Un Trusted Platform Module (TPM) è un chip hardware nei computer moderni che conserva in modo sicuro le chiavi di cifratura ed è richiesto per Windows 11.
• Device Bound Session Credentials (DBSC): Le Device Bound Session Credentials legano i token di sessione all’hardware di un dispositivo, impedendo agli attaccanti di riutilizzare i dati di sessione rubati su altri dispositivi.
• Secure Enclave: Un secure enclave è un’area hardware o software protetta che conserva in modo sicuro dati sensibili, schermandoli da accessi non autorizzati o manomissioni.