Il furto di cookie di sessione è diventato l’attacco preferito dei criminali dopo che passkey e autenticazione a due fattori hanno reso il phishing tradizionale meno efficace. Se la password non basta più, rubano il cookie che dimostra che ci si è già autenticati.
La risposta di Chrome è Device-Bound Session Credentials (DBSC). Il cookie viene legato crittograficamente al dispositivo, e diventa inutile su qualsiasi altro.
Come funziona il nuovo sistema DBSC di Chrome che protegge i cookie di sessione
Chrome genera una chiave crittografica unica e la conserva nel TPM (Trusted Platform Module) su Windows o nel Secure Enclave su macOS, chip dedicati alla sicurezza integrati nel dispositivo. La chiave non esce mai da lì.
Quando un sito web imposta un cookie di sessione, il browser deve inviare una versione del cookie firmata con quella chiave. Come spiega il ricercatore Scott Helm, il server conserva la chiave pubblica corrispondente. Se la firma non corrisponde, perché il cookie è stato rubato e usato su un altro dispositivo, il server rifiuta l’accesso.
Disponibilità
DBSC è attivo su Chrome 147 per Windows e Chrome 150 per macOS, ma solo per un set limitato di utenti. Google sta probabilmente testando la funzionalità prima di renderla disponibile per tutti.
È possibile verificare se è attivo nel proprio browser: basta aprire gli Strumenti sviluppatore, cliccare sulla tab Applicazione e scorre verso il basso. Se si è su un sito che supporta DBSC, si vedrà “device bound sessions.” Non è chiaro quando altri browser basati su Chromium implementeranno DBSC, ma è probabile che lo faranno.
Il furto di cookie era il buco rimasto dopo le passkey e il 2FA. Il malware infostealer e gli attacchi man-in-the-middle continuavano a funzionare perché il cookie era un segreto condiviso, chiunque lo avesse poteva usarlo. DBSC chiude quel buco legando il cookie al chip del dispositivo. Non è invulnerabile, niente lo è. Ma rende il furto di cookie molto meno utile per gli hacker.
Ti potrebbe interessare
13 ago 2026