Como sequestrar contas no Chrome: nova artimanha do Google

Veja como sequestrar contas no Chrome e a artimanha do Google para acabar com esse tipo de ataque a segurança.

Veja como sequestrar contas no Chrome se aproveitando de uma facilidade muito utilizada pelos usuários do navegador.

Se por um lado os cookies de sessão ajudam a manter contas logadas por outro lado eles podem ser sequestrados.

E uma vez sequestrado é possível que um golpista consiga obter acesso ao perfil da vítima utilizando um cookie legítimo que foi sequestrado.

Como sequestrar contas no Chrome: nova artimanha do Google

Utilizando malware um hacker poderia capturar os cookies armazenados no navegador da vítima, permitindo utiliza-los em acessos não autorizados.

Porém uma nova camada de segurança adicionada pelo Google irá impedir esse tipo de ataque.

O novo recurso é chamado de Device Bound Session Credentials (DBSC), ou ainda Credenciais de Sessão Vinculadas ao Dispositivo, em português.

Utilizando um chip de segurança, como o TPM para Windows ou Secure Enclave para MacBook é gerado um par de chaves para criptografia do cookie.

Desta forma, mesmo que o cookie for capturado por um hacker não será possível utiliza-lo em outro computador.

Isso porque a chave de criptografia foi criada em outro dispositivo e com isso não pode ser identificada como legítima.

Esse bloqueio é possível, porque a chave pública fica armazenada em um servidor web.

Assim, quando uma requisição de acesso é realizada a um desses servidores, ele verifica o cookie de sessão e responde com um desafio de autenticação.

Como a técnica é baseada em um chip de segurança que foi projetado para ser inviolável, pelo menos até o momento, isso torna o sequestro de cookies de sessão totalmente inútil.

O Chrome a partir da versão 146 já vem com esta funcionalidade de segurança disponível para ser utilizada.