Google ha annunciato una nuova protezione di sicurezza che impedisce ai cybercriminali di rubare i cookie di sessione e prendere il controllo dell’account Workspace. La funzionalità, denominata Device Bound Session Credentials (DBSC), è attualmente in open beta. L’azienda di Mountain View ha esteso inoltre la disponibilità delle passkey e anticipato una futura novità.
Passkey, DBSC e SSF
Google evidenzia che il furto dei cookie e dei token di autenticazione è diventato uno dei principali obiettivi dei cybercriminali. Vengono utilizzati infostealer in grado di rubare questi dati sensibili dal browser, in quanto possono aggirare l’autenticazione in due fattori.
L’azienda di Mountain View consiglia innanzitutto di usare le passkey, ora disponibili per oltre 11 milioni di utenti Workspace. È l’opzione migliore per il login, in quanto sono resistenti al phishing e sono uniche (diverse per ogni siti o servizio).
Per proteggere maggiormente gli account è stata aggiunta la funzionalità Device Bound Session Credentials (DBSC). Disponibile in Chrome su Windows, DBSC rafforza la sicurezza dopo il login collegando i cookie di sessione al dispositivo usato dall’utente per l’autenticazione.
Dato che solo il dispositivo originario può accedere alla sessione attiva, i cookie rubati dai cybercriminali non funzionano sui loro dispositivi. La funzionalità può essere attivata nella sezione Sicurezza della console di amministrazione. DBSC potrebbe essere supportata anche da Microsoft Edge in futuro.
Entro fine anno verrà introdotto anche lo standard Shared Signals Framework (SSF) sviluppato da OpenID Foundation. Consente alle piattaforme di scambiare segnali di sicurezza quasi in tempo reale. Il framework permette ai “trasmettitori” di informare tempestivamente i “ricevitori” di eventi significativi, facilitando una risposta coordinata alle minacce per la sicurezza. Inizialmente sarà disponibile in beta chiusa ad un numero limitato di clienti e partner.