Chrome DBSC: cookies ligados ao hardware para parar o sequestro de contas

O Google começou a implementar o Chrome Device Bound Session Credentials (DBSC), uma função de segurança que ata criptograficamente as sessões de navegador ao hardware do computador para evitar que cookies roubados permitam sequestros de contas.

O DBSC não é um adesivo qualquer: vincula cookies de sessão para chaves de hardware não exportadas, geradas por elementos seguros como o Trusted Platform Module (TPM) no Windows ou o Secure Enclave no macOS. Essa associação significa que, embora um atacante consiga extrair um cookie, não poderá reutilizá-la de outro dispositivo porque não dispõe da chave privada armazenada no chip do equipamento original.

O Google explica que a função esteve em beta desde abril e agora está ativa para todos os clientes do Google Workspace, assinantes individuais e contas pessoais, Activa por omissão e sem opção para os administradores desactivem, o que sublinha a intenção do Google de elevar o nível de proteção contra este vetor de ataque. Você pode ler o anúncio oficial aqui: Prevent account takeovers with DBSC — Workspace Updates.

A abordagem da DBSC muda a tática de muitas defesas: em vez de depender apenas de detecção pós-compromissiva, busca fazer inútil a mercadoria roubada. Isto ataca diretamente abusos observados na prática, como a exploração de endpoints OAuth não documentados ou a capacidade de info-stealers para restaurar cookies expirados, técnicas que foram aproveitadas por famílias de malware e operações especializadas.

Embora seja uma melhoria significativa, DBSC não é uma bala de prata. Protege contra a reutilização remota de cookies exfiltrados, mas não impede que um atacante que controle o próprio dispositivo atue durante uma sessão ao vivo, nem substitui a necessidade de controlar o malware endémico em endpoints, a proteção contra phishing ou políticas de acesso robustas. Por isso continua a ser importante combinar DBSC com outras medidas como navegação segura, detecção e resposta em endpoints e autenticação resistente a phishing.

Para entender o fundamento técnico, convém lembrar que o DBSC é apoiado em mecanismos de autenticação de plataforma: chaves geradas por hardware e APIs do navegador que ligam as credenciais de sessão ao dispositivo. Estes princípios estão relacionados com tecnologias e padrões como a WebAuthn e a utilização de autenticadores protegidos por hardware; mais informações técnicas podem ser consultadas na especificação oficial: W3C WebAuthn, e na documentação sobre módulos TPM de plataforma: Trusted Platform Module (TPM) — Microsoft Docs.

Da perspectiva de TI e das organizações, a obrigatoriedade da função para clientes Workspace reduz o risco operacional Mas também obriga a validar compatibilidade: equipamentos antigos sem hardware seguro ou navegadores não atualizados poderiam se comportar de forma diferente. É recomendável testar a implementação em ambientes controlados antes de depender de DBSC como único amortecedor contra incidentes.

Se você administra segurança em uma organização ou é usuário preocupado com a proteção de suas credenciais, algumas ações práticas são claras: manutenção do Chrome e sistemas operacionais atualizados, verifique que as equipes contem com TPM ou equivalentes, mantenha soluções de EDR/antimalware ativas, habilita modos de navegação segura e promove mecanismos de autenticação resistentes ao phishing (por exemplo, passkeys/WebAuthn). Também é boa prática auditar sessões ativas e aprender a revogar acessos suspeitos do painel do Google.

Em suma, a DBSC representa um avanço técnico relevante porque eleva a barreira para os atacantes que lucram com cookies roubados, mas sua eficácia máxima chega quando se integra em uma estratégia de defesa em profundidade: protecção de endpoints, autenticação sólida e políticas organizacionais coordenadas Continuam a ser indispensáveis para reduzir o risco real de tomada de contas.