Google Chrome tarayıcısına eklenen yeni bir özellik, hesap güvenliğini önemli ölçüde artırarak, giderek yaygınlaşan hesap devralma yöntemlerine karşı güçlü bir kalkan oluşturuyor. Özellikle iki faktörlü kimlik doğrulama (2FA), parola anahtarları ve benzeri koruma mekanizmalarının yaygınlaşmasıyla birlikte, bu tür saldırıların önüne geçilmesi hedefleniyor.
Chrome'un yeni güvenlik önlemi, cihazla sınırlı oturum kimlik bilgileri (DBSC) olarak biliniyor. Bu yöntem, tarayıcının çalıştığı cihazın içinde yer alan özel bir donanıma benzersiz bir şifreleme anahtarı kaydediyor. Windows bilgisayarlarda bu donanım Güvenilir Platform Modülü (TPM) olarak adlandırılırken, macOS ve iOS cihazlarında Güvenli Enklav (Secure Enclave) olarak biliniyor. Diğer platformlarda ise farklı isimlere sahip olabiliyor. Son olarak güncellenen Chrome sürümleri, Windows ve macOS için bu donanımda saklanan bir anahtar üretiyor.
Oturum Çerezi Hırsızlığına Karşı Etkili Çözüm
DBSC, web sitelerinin tarayıcılara kaydettiği özel karakter dizileri olan oturum çerezlerinin çalınmasına karşı koruma sağlıyor. Oturum çerezleri, kullanıcı doğrulaması gerektiren hassas sitelerde gezinmeyi büyük ölçüde hızlandırıyor. Her yeni sayfa açıldığında kimlik bilgisi girişini tekrar tekrar yapmak yerine, sunucu bir oturum çerezi ayarlayarak kullanıcının zaten başarıyla giriş yaptığını kanıtlıyor.
İki faktörlü kimlik doğrulama, parola anahtarları ve benzeri korumaların yaygınlaşmasıyla birlikte, oturum çerezi hırsızlığı tehdidi de artış gösterdi. Bu yeni koruma mekanizmaları, kullanıcıların kısıtlı bir siteye erişim sağlamadan önce paylaşılan bir sırrın ötesinde ek faktörler gerektiriyor. Yalnızca bir parolaya sahip olmanın yeterli olmadığı durumlarda, kimlik avı (phishing) ve diğer geleneksel hesap devralma yöntemleri etkisiz kalıyor.
Bu duruma karşılık saldırganlar, bilgi çalma amaçlı kötü amaçlı yazılımlara ve çeşitli gelişmiş saldırı yöntemlerine yönelmiş durumda. Bu saldırıların her ikisi de oturum çerezlerini çalarak işliyor. Saldırganlar, çaldıkları çerezleri kendi tarayıcılarına yapıştırarak, geçerli kullanıcının sahip olduğu erişim haklarını (en azından geçici olarak) elde edebiliyor.
DBSC, oturum çerezi hırsızlığına karşı etkili bir panzehir niteliğinde. Bir web sitesi oturum çerezi ayarladıktan sonra, ziyaretçi tarayıcısının bu çerezin, donanımda saklanan anahtar ile imzalanmış bir versiyonunu göndermesi gerekiyor. TPM veya Güvenli Enklav'daki özellikler, anahtarı dışarı çıkarılmasını engelleyecek şekilde izole ediyor. Bu işlem sayesinde, saldırgan cihazdan özel anahtarı çalamıyor. Bu, temel korumayı oluşturan unsurdur. Saldırgan çerezi çalabilir, ancak cihazda güvenli bir şekilde saklanan özel anahtar olmadan DBSC sorgusunu yanıtlayamaz.
Şu an için DBSC, yalnızca Windows için Chrome sürüm 147 ve macOS için Chrome sürüm 150'de destekleniyor. Bu sürümlerde dahi DBSC, sınırlı sayıda kullanıcı için aktif durumda. Google'ın bu özelliği genel kullanıma sunmadan önce test ettiği düşünülüyor. Windows ve macOS kullanıcıları, tarayıcılarında bu özelliğin çalışıp çalışmadığını kontrol etmek için geliştirici araçlarını açıp, üst kısımdaki 'uygulama' sekmesine tıklayarak ve aşağı kaydırarak öğrenebilirler. DBSC'yi destekleyen bir siteye giriş yapıldığında, koruma aktifse 'cihazla sınırlı oturumlar' ibaresi görünecektir.
Diğer Chromium tabanlı tarayıcıların DBSC'yi ne zaman veya hangi koşullarda uygulayacağı belirsizliğini koruyor, ancak bu özelliğin yaygınlaşması bekleniyor.
DBSC, yıllardır saldırganlar tarafından kolayca çalınabilen paylaşılan sırra olan bağımlılığı ortadan kaldıran en yeni kimlik doğrulama yöntemlerinden biridir. Bu yeni modelde, web sunucuları ziyaretçinin genel anahtarını saklar. Ardından sunucular, oturum çerezini içeren bir kimlik doğrulama sorgusu gönderir. Elde edilen yanıt, yani kimlik doğrulama bildirimi, TPM veya Güvenli Enklav'da güvenli bir şekilde saklanan özel anahtar ile imzalanmadığı sürece reddedilir. Parola anahtarları da aynı şekilde çalışır.
