Le nouveau rempart de sécurité de Chrome : le verrou matériel de Google peut-il déjouer les infostealers ?

Tout commence par un simple clic : un e-mail de phishing, un téléchargement malveillant, ou juste de la malchance. Soudain, vos comptes en ligne sont grands ouverts aux cybercriminels, à cause d’un petit fichier dont la plupart des utilisateurs n’ont jamais entendu parler : le cookie de session. Depuis des années, des malwares voleurs d’informations siphonnent discrètement ces précieux jetons depuis les navigateurs, contournant mots de passe et authentification à deux facteurs. Aujourd’hui, Google mise gros sur une nouvelle ligne de défense - les Identifiants de Session Liés à l’Appareil (DBSC) - mais ce bouclier matériel est-il la réponse à l’une des menaces les plus persistantes du web ?

Comment le cookie s’effrite : anatomie d’un vol de session

Les cookies de session sont les gardiens silencieux de votre identité numérique. Une fois connecté à un site, le serveur remet à votre navigateur un cookie de session - un laissez-passer numérique qui vous permet de naviguer sans ressaisir vos identifiants. Mais si un malware s’empare de ce fichier sur votre appareil, les hackers peuvent immédiatement se faire passer pour vous, contournant même les défenses de connexion les plus robustes.

Les solutions logicielles traditionnelles n’ont pas réussi à stopper ce fléau. Comme l’admet franchement Google, « il n’existe aucun moyen fiable d’empêcher l’exfiltration de cookies uniquement par logiciel, quel que soit le système d’exploitation. » Les malwares infostealers, comme le tristement célèbre LummaC2, sont spécialisés dans l’extraction de ces cookies - même depuis le stockage chiffré du navigateur - laissant utilisateurs et entreprises vulnérables aux prises de contrôle de comptes, fraudes et fuites de données.

DBSC entre en scène : verrouiller les sessions au matériel

La nouvelle approche de Google, DBSC, vise à rendre les cookies de session volés inutilisables. Comment ? En liant chaque session au matériel unique de l’appareil, en particulier le Trusted Platform Module (TPM) sur Windows ou le Secure Enclave sur macOS. Lors de la connexion, Chrome génère une paire de clés cryptographiques à l’intérieur de votre puce de sécurité. La clé privée ne quitte jamais votre appareil ; le navigateur doit prouver la possession de cette clé pour rafraîchir ou utiliser les cookies de session.

Si un malware exfiltre votre cookie de session sans votre matériel, le serveur rejette immédiatement le cookie volé. Pas de matériel, pas de détournement - simple en théorie, redoutable en pratique.

La confidentialité par conception… et la force de l’industrie

DBSC ne se limite pas à la sécurité ; il est conçu dans une optique de confidentialité. Chaque session utilise une clé distincte, empêchant le suivi inter-sites et minimisant les informations identifiantes sur l’appareil. Google et Microsoft présentent DBSC comme un standard ouvert du web, invitant les autres éditeurs de navigateurs et opérateurs de sites à adopter le protocole. Les premiers tests avec de grandes plateformes comme Okta ont montré une réduction prometteuse des vols de session.

Pour l’instant, cette protection est réservée aux utilisateurs Windows sur Chrome 146, le support macOS arrivant prochainement. Les développeurs web devront mettre à jour leurs backends pour exploiter pleinement DBSC, mais Google promet que cela ne cassera pas les interfaces existantes.

Et après : le matériel va-t-il l’emporter sur les malwares ?

La stratégie matérielle de Google pourrait marquer un tournant dans la sécurité des navigateurs, déplaçant l’équilibre au-delà des seules défenses logicielles. Mais à mesure que les cybercriminels s’adaptent, la course à l’armement continue. Pour l’instant, les utilisateurs de Chrome peuvent se rassurer : l’ère du cookie de session facilement volé touche peut-être à sa fin - mais en cybersécurité, rien ne reste invulnérable bien longtemps.

WIKICROOK

• Cookie de session : Un cookie de session est un fichier temporaire dans votre navigateur qui vous maintient connecté à un site web ; s’il est volé, il peut permettre à d’autres d’accéder à votre compte.
• Malware infostealer : Un malware infostealer est un logiciel malveillant qui collecte discrètement des informations sensibles, comme des mots de passe et des données financières, sur les ordinateurs infectés.
• Trusted Platform Module (TPM) : Un Trusted Platform Module (TPM) est une puce matérielle présente dans les ordinateurs modernes qui stocke de façon sécurisée les clés de chiffrement et est requise pour Windows 11.
• Identifiants de Session Liés à l’Appareil (DBSC) : Les Identifiants de Session Liés à l’Appareil lient les jetons de session au matériel d’un appareil, empêchant les attaquants de réutiliser des données de session volées sur d’autres appareils.
• Secure Enclave : Une secure enclave est une zone matérielle ou logicielle protégée qui stocke de façon sécurisée des données sensibles, les protégeant contre tout accès ou altération non autorisés.