#软件资讯 Chrome 浏览器正式推出 DBSC 设备绑定会话凭证功能，该功能可以应对 Cookie 被窃取造成的未经授权访问。DBSC 调用 TPM 或安全隔离区生成密钥来加密凭证，也就是 Cookie 需要成功校验设备后才能使用，因此盗用 Cookie 进行远程登录将失去意义，然而该功能需要网站适配，适配后才能使用。查看详情：https://ourl.co/113189

谷歌从很久以前就在测试基于设备的浏览器凭证绑定机制，该机制被称为 DBSC 设备绑定会话凭证，此功能经过测试后现在正式发布，不过这还需要网站适配 DBSC 机制进行凭证绑定，成功适配后用户 Cookie 等凭证即便被盗用，黑客也无法使用凭证直接登录用户账户。

为什么要开发 DBSC 机制：

用户可能会在无意中安装恶意软件或恶意扩展程序，亦或者有些扩展程序通过后续更新用来读取本地存储的凭证并将其发送到服务器，攻击者提取凭证后可以实现不需要账户密码直接访问用户账户，致力于凭证窃取的攻击者可能还会将这种攻击产业化，也就是批量窃取海量凭证然后将其转售给下游黑客。

至关重要的是在任何操作系统上仅靠软件都无法可靠地阻止凭证泄露，以前缓解会话窃取的方法是事后使用复杂系统进行滥用启发式检测，这种被动检测机制很容易被攻击者绕过，而 DBSC 通过将防御范式从被动检测转变为主动预防，可以从根本上改变网站防御此类威胁的能力，确保即便 Cookie 泄露也无法被用于访问账户。

DBSC 机制的工作原理：

该机制将身份验证会话加密绑定到特定设备来防止窃取，其利用硬件支持的安全模块 (例如 Windows TPM 或 macOS 的安全隔离区) 生成独立的密钥对，该加密密钥不能从设备上导出，新会话的 Cookie 签发取决于谷歌浏览器向远程服务器证明拥有对应的私钥，由于攻击者无法窃取私钥，因此任何被窃取的 Cookie 都会失效所以继续窃取也没有意义。

这种设计允许网站在后端添加专用的检测和刷新 API 来升级到安全的硬件绑定会话，同时保持与前端的完全兼容性，浏览器在后台处理复杂的加密和 Cookie 轮换机制，所以网站可以像以前那样正常使用标准的 Cookie 进行访问。

开发者需要使用 DBSC 进行适配：

如果网站开发者基于安全考虑想要部署这项机制，则需要参考谷歌开源的 DBSC 机制实现文档，然后在后端服务器部署兼容策略，部署后可以应对凭证窃取显著提升用户账户安全性。

DBSC 技术规范：https://w3c.github.io/webappsec-dbsc/

DBSC 技术文档：https://developer.chrome.com/docs/web-platform/device-bound-session-credentials?hl=zh-cn

via Google Workspace