Giriş
Google, Windows için Chrome 146 sürümünde, cihazla bağlı oturum kimlik bilgilerini (DBSC) koruma özelliğini tanıttı. Bu özellik, bilgi hırsızlığı yapan kötü amaçlı yazılımların oturum çerezlerini ele geçirmesini engellemeyi hedefliyor.
Saldırı Nasıl Çalışıyor?
DBSC, kullanıcının oturumunu spesifik donanımına kriptografik olarak bağlayarak çalışır. Bu bağlama, Windows’taki Trusted Platform Module (TPM) ve macOS’taki Secure Enclave gibi güvenlik çipleri aracılığıyla gerçekleşir.
- DBSC özelliği, CVE-2024-XXXX gibi güvenlik açıklarına karşı koruma sağlar.
- Kötü niyetli aktörlerin ele geçirdiği oturum çerezleri, özel anahtarın makineden dışarı çıkamaması nedeniyle kullanılmaz hale gelir.
- Google, yeni kısa ömürlü oturum çerezlerinin, sunucuya karşılık gelen özel anahtarın bulunduklarını kanıtlamaya bağlı olduğunu belirtmektedir.
Etkilenen Sistemler
– Windows ve gelecekte macOS kullanıcıları, DBSC koruma özelliğinden faydalanacaktır.
– Mevcut oturum çerezleri, herhangi bir ele geçirildiğinde hızlı bir şekilde geçerliliğini yitirir.
Çözüm ve Korunma
Web siteleri, daha güvenli donanım bağlantılı oturumları sunmak için özel kayıt ve yenileme son noktaları ekleyebilir. Geliştiriciler, Google’ın DBSC uygulama detayları kılavuzuna başvurabilir.
- Web geliştiricileri için W3C ve GitHub üzerindeki spesifikasyonlar ve açıklayıcı belgeler mevcuttur.
- DBSC’nin ilk versiyonunu test eden Google, oturum hırsızlığı olaylarında belirgin bir düşüş gözlemlemiştir.
Sonuç
Kullanıcıların ve geliştiricilerin, Chrome tarayıcısını güncellemeleri ve donanıma bağlı oturum güvenliğini artırmak için gerekli adımları atmaları önemlidir. Ayrıca, mevcut güvenlik önlemlerini gözden geçirmek ve gerektiğinde portları kapamak gibi önlemler almak da yararlı olacaktır.
