Google étend aux utilisateurs de macOS le dispositif Device Bound Session Credentials (DBSC). Ce dernier lie chaque session de navigation à une clé générée dans le Secure Enclave du Mac. Un cookie de session dérobé par un logiciel malveillant devient alors inutilisable dès qu'il quitte l'appareil sur lequel il a été créé.
Les logiciels malveillants spécialisés dans le vol de données, ou infostealers, ciblent de plus en plus les cookies de session, ces fichiers qui maintiennent une connexion active sans repasser par un mot de passe. Une fois copiés, ils permettent à un attaquant de reprendre une session ouverte depuis n'importe quelle autre machine, comme s'il s'agissait de l'appareil d'origine.
Une clé non exportable stockée dans le Secure Enclave du Mac
Le principe des DBSC repose sur une paire de clés générée directement dans le matériel de l'appareil, dans le TPM sous Windows et dans le Secure Enclave sur Mac. La clé privée ne quitte jamais ce composant et ne peut pas en être extraite, même si la machine est compromise. Pour renouveler une session, Chrome doit signer un défi envoyé par le serveur avec cette clé. Un cookie copié par un malware ne suffit donc plus à lui seul. L'attaquant peut le voler, mais il ne peut pas produire la signature attendue, faute de détenir la clé restée sur l'appareil d'origine.
Sur macOS, la fonction est disponible depuis Chrome 147 selon les notes de publication de Chrome Enterprise, mais son déploiement reste progressif. Contrairement à Windows, où elle est activée par défaut, son activation sur Mac dépend d'un système de test interne à Google qui répartit les utilisateurs en différents groupes. Le chercheur en sécurité Scott Helme, qui a examiné sa propre configuration, s'est ainsi retrouvé dans un groupe de contrôle représentant 30% des testeurs, où le service chargé de générer la clé matérielle reste désactivé. Dans ce cas, Chrome tente bien d'enregistrer la protection auprès du site visité, mais l'opération échoue, sans message d'erreur ni trace visible pour l'utilisateur.
Il est possible de vérifier si une session bénéficie de cette protection en ouvrant les outils de développement de Chrome, puis l'onglet Application, où la mention "device bound sessions" apparaît si le mécanisme est actif pour le site consulté. En l'absence de prise en charge, côté navigateur ou côté site, la session continue de fonctionner comme un cookie classique, sans interruption pour l'utilisateur.
Nous rapportions en avril le déploiement initial de cette protection sur Windows, présenté alors comme une première étape avant son extension à macOS. Les navigateurs concurrents basés sur Chromium comme Brave, Edge, Opera ou Vivaldi n'ont pour l'instant pas communiqué de calendrier pour une implémentation de leur côté.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.