Der von Google entwickelte Chrome-Browser verfügt über neue Funktionen, die die Verhinderung von Kontoübernahmen deutlich verbessern können. Diese Art von Online-Betrug hat zugenommen, auch wenn die Benutzer zunehmend Methoden wie die Zwei-Faktor-Authentifizierung und andere sicherere Passwörter verwenden. Die Maßnahme wurde am 11. August 2026 umgesetzt und zielt darauf ab, die Benutzersicherheit zu stärken.
Diese neue Funktion wird Device-Bound Session Credentials (DBSCs) genannt und funktioniert durch die Speicherung eines eindeutigen Verschlüsselungsschlüssels. Es befindet sich in einer Sicherheitsschicht, die bereits auf dem Gerät vorhanden ist, auf dem der Browser ausgeführt wird. Auf Windows-Systemen ist diese Technologie als Trusted Platform Module (TPM) bekannt, während auf macOS- und iOS-Geräten die Bezeichnung Secure Enclave lautet. Andere Plattformen haben andere Bezeichnungen für diese Ebene. Die neuesten Versionen von Chrome für Windows und macOS sind bereits für die sichere Generierung und Speicherung dieses Schlüssels ausgestattet.
Zum gleichen Thema: PlayStation sucht Sicherheitsstrategen, um Kontodiebstahl im PS5-Netzwerk einzudämmen
Wie gerätegebundene Sitzungsanmeldeinformationen gegen Diebstahl wirken
DBSCs fungieren als Barriere gegen den Diebstahl von Sitzungscookies. Bei diesen Cookies handelt es sich um einzigartige Zeichenfolgen, die Internetportale im Browser der Nutzer speichern. Ihre Hauptfunktion besteht darin, die Navigation auf Plattformen zu beschleunigen, die eine ständige Authentifizierung erfordern. Anstatt bei jedem neuen Seitenaufruf Anmeldeinformationen anzufordern, erkennt der Server einfach die vorherige Anmeldung über das Sitzungscookie.
Verfolgen Sie: alles über Cybersicherheit
Die Taktik, Sitzungscookies zu stehlen, hat sich immer weiter durchgesetzt, da Sicherheitsmethoden wie Zwei-Faktor-Authentifizierung (2FA) und Passkeys immer beliebter werden. Diese Innovationen fügen Verifizierungsebenen hinzu, die über ein einzelnes Passwort hinausgehen, um den Zugriff auf eingeschränkte Seiten zu ermöglichen. Infolgedessen haben Phishing-Angriffe und andere ältere Ansätze zur Kompromittierung von Konten ihre Wirksamkeit verringert.
Um diese neuen Abwehrmaßnahmen zu umgehen, begannen virtuelle Kriminelle häufiger mit bösartiger Software, um Informationen zu stehlen und Angriffe durchzuführen, die als „Adversary in the Middle“ (AIM) bekannt sind. Beide Strategien basieren auf der Umgehung von Sitzungscookies. Sobald die Angreifer die Cookies in der Hand haben, fügen sie sie in ihren eigenen Browser ein und erreichen so die gleiche Zugriffsebene wie der echte Benutzer, wenn auch nur für einen begrenzten Zeitraum.
Mehr zum Thema: Gestohlenes Mobiltelefon sperren: Wichtige Schritte zum Schutz Ihrer Daten und zur Verfolgung des Geräts
DBSCs stellen einen direkten Schutz gegen den Diebstahl dieser Cookies dar. Sobald eine Website ein Sitzungscookie setzt, muss der Browser des Benutzers eine signierte Version des Cookies unter Verwendung des im Sicherheitschip gespeicherten kryptografischen Schlüssels übertragen. Die Eigenschaften des TPM oder der sicheren Enklave garantieren die Isolierung dieses Schlüssels und verhindern so jeden Versuch, ihn zu extrahieren. Der Prozess ist auf maximale Sicherheit ausgelegt.
„Der Angreifer kann den privaten Schlüssel des Geräts nicht stehlen, da das TPM/Secure Enclave ihn nicht freigibt. Dies ist der Hauptschutz“, sagte Scott Helme, Forscher und Gründer von Report URI. Er erklärte, dass selbst wenn es dem Angreifer gelingt, das Cookie zu stehlen, er nicht in der Lage sein wird, auf eine DBSC-Herausforderung zu reagieren, da der private Schlüssel auf dem Gerät des Benutzers unzugänglich und sicher bleibt.
Device-Bound Sessions (DBSCs) sind derzeit nur für Chrome-Version 147 unter Windows und 150 unter macOS verfügbar. Allerdings ist die Funktionalität nur einem eingeschränkten Benutzerkreis zugänglich. Anscheinend befindet sich Google in der Testphase, bevor der Schutz flächendeckend eingeführt wird. Um zu überprüfen, ob das Tool aktiv ist, können Chrome-Benutzer auf diesen Betriebssystemen die Entwicklertools öffnen, zur Registerkarte „Anwendungen“ navigieren und überprüfen, ob die Meldung „Mit Gerät verknüpfte Sitzungen“ angezeigt wird, wenn sie sich bei einer unterstützten Website anmelden.
Komplette Berichterstattung: Aktuelle Nachrichten (DE)
Es besteht noch keine Klarheit darüber, wann oder ob andere auf der Chromium-Plattform basierende Browser DBSCs integrieren werden, es wird jedoch erwartet, dass diese Einführung in naher Zukunft erfolgen wird.
DBSCs stellen den neuesten Fortschritt in der Authentifizierung dar und zielen darauf ab, die Abhängigkeit von gemeinsamen Geheimnissen zu beseitigen, die sich in der Vergangenheit als anfällig für Diebstahl erwiesen haben. In diesem neuen Paradigma beginnen Webserver, den öffentlichen Schlüssel jedes Besuchers zu speichern. Diese Server senden später eine Authentifizierungsaufforderung, die das Sitzungscookie einbezieht. Damit die Authentifizierungserklärung akzeptiert wird, muss sie mit dem privaten Schlüssel signiert werden, der im TPM oder in der sicheren Enklave des Geräts geschützt bleibt. Dieser Mechanismus ähnelt der Funktionsweise von Zugangsschlüsseln, die ebenfalls darauf abzielen, die digitale Sicherheit zu stärken.