Google a annoncé le déploiement public de ses Identifiants de Session Liés à l’Appareil (DBSC) pour les utilisateurs de Windows via Chrome 146. Cette avancée importante en matière de sécurité est conçue pour lutter contre le détournement de sessions, une technique courante utilisée par les attaquants pour compromettre les comptes des utilisateurs. Avec ce lancement, Google marque un tournant vers une prévention proactive des menaces, laissant derrière lui les approches réactives basées sur la détection des intrusions.
Lutter contre la cybersécurité !
DBSC lie une session d’authentification à l’appareil physique de l’utilisateur grâce à des modules de sécurité soutenus par du matériel, comme le Trusted Platform Module (TPM) sur les appareils Windows. Lors de la connexion, le matériel génère une paire de clés publiques et privées, où la clé privée ne peut jamais être exportée de l’appareil. Cette mesure garantit que, même si un attaquant vole les cookies de session, ceux-ci deviennent rapidement inutiles, car les identifiants expirent dans un court laps de temps et l’attaquant ne possède pas la clé physique de l’appareil.
De plus, le protocole DBSC sera bientôt mis en œuvre sur macOS, élargissant ainsi son champ d’application. Cette technologie permet aux développeurs web d’intégrer des mesures de sécurité avancées sans complications supplémentaires, car Chrome gère les complexités cryptographiques en arrière-plan. Malgré ses capacités strictes de liaison des appareils, DBSC intègre des contrôles de confidentialité rigoureux, utilisant une clé complètement séparée pour chaque session, ce qui empêche tout suivi indésirable des utilisateurs.
Google a développé DBSC comme une norme ouverte en collaboration avec le W3C et Microsoft, en effectuant des tests sur des plateformes comme Okta. À l’avenir, on prévoit que les capacités de DBSC s’étendent pour sécuriser les environnements d’identité fédérée et d’accès unique (SSO) dans les entreprises, ainsi que des options avancées d’enregistrement qui lient les sessions aux clés de sécurité matérielles existantes.