Chrome quiere acabar con uno de los trucos favoritos de los hackers para robar cuentas

Google está empezando a desplegar en Chrome una nueva función de seguridad que puede complicar considerablemente uno de los métodos utilizados para secuestrar cuentas: robar las cookies de sesión del navegador.

La tecnología se denomina Device-Bound Session Credentials y vincula una sesión autenticada al dispositivo desde el que el usuario inició sesión. De esta forma, aunque un atacante consiga copiar una cookie, no debería poder utilizarla fácilmente desde otro ordenador.

El problema que intenta solucionar es bastante habitual. Cuando un usuario inicia sesión en una página web, el servicio guarda normalmente una cookie en el navegador para mantener la sesión abierta. Si un malware consigue robar esa cookie, el atacante puede intentar cargarla en otro navegador y acceder a la cuenta sin introducir la contraseña ni superar nuevamente la autenticación de dos factores.

Chrome añade ahora una segunda prueba. Durante el establecimiento de la sesión, el navegador genera una clave criptográfica privada y la almacena en el hardware protegido del dispositivo. En Windows utiliza el Trusted Platform Module (TPM), mientras que en los dispositivos de Apple recurre al Secure Enclave.

La clave privada nunca queda expuesta directamente al navegador o al sistema operativo. La página web compatible conserva la clave pública correspondiente y puede pedir a Chrome que demuestre que todavía tiene acceso a la clave privada.

Cuando es necesario mantener o renovar la sesión, el navegador debe firmar una prueba criptográfica. Una cookie copiada por un atacante ya no sería suficiente para superar esa comprobación.

El investigador de seguridad Scott Helme explicó a Ars Technica que el TPM o el Secure Enclave mantienen la clave privada dentro del dispositivo, por lo que un atacante puede llegar a robar la cookie, pero no puede completar el desafío criptográfico sin tener acceso a la clave protegida.

La función está pensada para combatir los ataques de robo de sesiones. Los infostealers pueden extraer cookies almacenadas en navegadores comprometidos, mientras que determinadas técnicas de phishing también pueden permitir a los atacantes interceptar sesiones autenticadas.

Google combina las claves vinculadas al dispositivo con cookies de corta duración, mientras Chrome gestiona automáticamente la renovación de las sesiones en segundo plano.

Por ahora, la función tiene una disponibilidad limitada. Está presente en Chrome 147 para Windows y Chrome 150 para macOS, aunque solo para una parte de los usuarios.

Los usuarios pueden comprobar si tienen activada la protección desde las herramientas de desarrollador de Chrome.