يكتسب Chrome حماية جديدة من سرقة الحساب باستخدام بيانات اعتماد الجلسة المرتبطة بالجهاز
يتضمن متصفح Chrome، الذي طورته شركة Google، وظائف جديدة قادرة على تحسين منع الاستيلاء على الحساب بشكل كبير. وقد تكثف هذا النوع من الاحتيال عبر الإنترنت، حتى مع زيادة اعتماد المستخدم لأساليب مثل المصادقة الثنائية وكلمات المرور الأخرى الأكثر قوة. تم تنفيذ الإجراء في 11 أغسطس 2026 بهدف تعزيز أمان المستخدم.
تعمل هذه الميزة الجديدة، التي يطلق عليها اسم “بيانات اعتماد الجلسة المرتبطة بالجهاز” (DBSCs)، عن طريق تخزين مفتاح تشفير فريد. إنه موجود في طبقة أمان موجودة بالفعل على الجهاز الذي يقوم بتشغيل المتصفح. في أنظمة Windows، تُعرف هذه التقنية باسم Trusted Platform Module (TPM)، بينما على أجهزة macOS وiOS، يكون التصنيف منطقة آمنة. الأنظمة الأساسية الأخرى لها مصطلحات مختلفة لهذه الطبقة. إن أحدث الإصدارات من Chrome لنظامي التشغيل Windows وmacOS مجهزة بالفعل لإنشاء هذا المفتاح وتخزينه بشكل آمن.
المزيد عن الموضوع: تبحث PlayStation عن استراتيجيين أمنيين للحد من سرقة الحسابات على شبكة PS5
كيف تعمل بيانات اعتماد الجلسة المرتبطة بالجهاز ضد السرقة
تعمل DBSCs كحاجز ضد سرقة ملفات تعريف الارتباط للجلسة. ملفات تعريف الارتباط هذه عبارة عن تسلسلات فريدة من الأحرف التي تخزنها بوابات الإنترنت في متصفحات المستخدمين. وتتمثل مهمتها الرئيسية في تسريع التنقل على الأنظمة الأساسية التي تتطلب مصادقة مستمرة. بدلاً من طلب بيانات الاعتماد مع كل صفحة جديدة يتم الوصول إليها، يتعرف الخادم ببساطة على تسجيل الدخول السابق من خلال ملف تعريف ارتباط الجلسة.
أصبح تكتيك سرقة ملفات تعريف الارتباط للجلسة أكثر انتشارًا حيث اكتسبت أساليب الأمان مثل المصادقة الثنائية (2FA) ومفاتيح المرور شعبية. تضيف هذه الابتكارات طبقات من التحقق، تتجاوز كلمة مرور واحدة للسماح بالوصول إلى الصفحات المقيدة. ونتيجة لذلك، أدت هجمات التصيد الاحتيالي وغيرها من الأساليب القديمة لاختراق الحسابات إلى تقليل فعاليتها.
التغطية الكاملة: آخر الأخبار (AR)
للتحايل على هذه الدفاعات الجديدة، بدأ المجرمون الافتراضيون في استخدام البرامج الضارة بشكل متكرر لسرقة المعلومات وتنفيذ هجمات تُعرف باسم “الخصم في المنتصف” (AIM). تعتمد كلتا الاستراتيجيتين على تجاوز ملفات تعريف الارتباط الخاصة بالجلسة. وبمجرد حصولهم على ملفات تعريف الارتباط، يقوم المهاجمون بإدخالها في متصفحاتهم الخاصة، وبالتالي تحقيق نفس مستوى الوصول الذي يتمتع به المستخدم الحقيقي، حتى لو لفترة محدودة.
انظر أيضاً
تمثل DBSCs دفاعًا مباشرًا ضد سرقة ملفات تعريف الارتباط هذه. في اللحظة التي يقوم فيها موقع ويب بتعيين ملف تعريف ارتباط للجلسة، يُطلب من متصفح المستخدم إرسال نسخة موقعة من ملف تعريف الارتباط، باستخدام مفتاح التشفير المخزن في شريحة الأمان. وتضمن خصائص TPM أو المنطقة الآمنة عزل هذا المفتاح، مما يمنع أي محاولة لاستخراجه. تم تصميم العملية لتحقيق أقصى قدر من السلامة.
اعرف المزيد: سيتلقى متصفح Google نظامًا يقوم بتثبيت إصلاحات الأمان دون إغلاق علامات التبويب
وقال سكوت هيلم، الباحث ومؤسس Report URI: “لا يستطيع المهاجم سرقة المفتاح الخاص للجهاز لأن TPM/Secure Enclave لا يحرره. هذه هي الحماية الرئيسية”. وأوضح أنه حتى إذا تمكن المهاجم من سرقة ملف تعريف الارتباط، فلن يتمكن من الاستجابة لتحدي DBSC، حيث يظل المفتاح الخاص غير قابل للوصول وآمنًا داخل جهاز المستخدم.
تتوفر الجلسات المرتبطة بالجهاز (DBSCs) حاليًا فقط لإصدار Chrome 147 على نظام التشغيل Windows و150 على نظام التشغيل macOS. ومع ذلك، الوظيفة متاحة لمجموعة محدودة من المستخدمين. ومن الواضح أن جوجل في مرحلة الاختبار قبل نشر الحماية على نطاق واسع. للتحقق من أن الأداة نشطة، يمكن لمستخدمي Chrome على أنظمة التشغيل هذه فتح أدوات المطور، والانتقال إلى علامة التبويب “التطبيقات”، والتحقق من ظهور رسالة “الجلسات المرتبطة بالجهاز” عند تسجيل الدخول إلى موقع ويب مدعوم.
لا يوجد حتى الآن وضوح بشأن متى أو حتى ما إذا كانت المتصفحات الأخرى المبنية على منصة Chromium ستدمج DBSCs، ولكن من المتوقع أن يحدث هذا التبني في المستقبل القريب.
في نفس الموضوع: يقوم Google Chrome بإعداد نظام أمان لا يتطلب إغلاق علامات التبويب
تمثل مراكز DBSC أحدث التطورات في مجال المصادقة، حيث تسعى إلى التخلص من الاعتماد على الأسرار المشتركة، والتي أثبتت تاريخيًا أنها عرضة للسرقة. في هذا النموذج الجديد، تبدأ خوادم الويب في تخزين المفتاح العام لكل زائر. ترسل هذه الخوادم لاحقًا اختبار مصادقة يتضمن ملف تعريف ارتباط الجلسة. لكي يتم قبول بيان المصادقة، يجب توقيعه بواسطة المفتاح الخاص، الذي يظل محميًا في TPM أو المنطقة الآمنة بالجهاز. تشبه هذه الآلية طريقة عمل مفاتيح الوصول، والتي تهدف أيضًا إلى تعزيز الأمن الرقمي.
