ChromeがDBSCでセッションCookie窃取を防御
Original : Chrome adopts what may be the best protection yet against account takeovers
Pourquoi c'est important
Cookie窃取型攻撃への対策として、業界標準になる可能性を持つ重要技術。
GoogleはChrome 147（Windows）および150（macOS）にDevice-Bound Session Credentials（DBSC）機能を導入。TPMまたはSecure Enclaveにキーを保存し、セッションCookieの窃取によるアカウント乗っ取りを防ぐ新技術を限定展開中。
GoogleはChromeブラウザにDevice-Bound Session Credentials（DBSC）と呼ばれる新機能を追加した。この技術は、デバイス内のTPM（Trusted Platform Module）またはSecure Enclaveに固有の暗号化キーを保存する仕組みだ。セッションCookieを利用する際、ブラウザはこのキーで署名されたCookieを送信する必要があり、キー自体はハードウェアから抽出できないため、攻撃者がCookieを盗んでも別のデバイスで使用することが不可能になる。
2FAやパスキーの普及に伴い、攻撃者はInfostealer マルウェアやAitM（Adversary-in-the-Middle）攻撃でセッションCookieを窃取する手法に移行している。DBSCはこの脅威への直接的な対策となる。セキュリティ研究者のScott Helme氏は「攻撃者はCookieを盗めても、DBSCチャレンジに応答するための秘密鍵はデバイスに安全に残る」と述べた。現時点ではWindows版（v147）とmacOS版（v150）の限定ユーザーのみに展開されており、一般公開前のテスト段階にある。