Google heeft een nieuwe versie van Chrome gelanceerd die is voorzien van een maatregel om cookiediefstal te voorkomen. De maatregel heet Device Bound Session Credentials (DBSC) en zorgt ervoor dat websites de sessie van een ingelogde gebruiker kunnen koppelen aan het specifieke systeem van de gebruiker. Dit moet het volgens Google lastiger maken om gestolen session cookies op andere systemen te gebruiken.

Google stelt dat veel internetgebruikers besmet raken met malware die session cookies van het systeem steelt. Deze cookies geven aan dat de gebruiker op een bepaalde website of account is ingelogd. Ze worden aangemaakt nadat de gebruiker is ingelogd. Door session cookies te stelen heeft een aanvaller dan ook direct toegang tot het betreffende account, waardoor het niet meer nodig is om het wachtwoord van de gebruiker te hebben of tweefactorauthenticatie te omzeilen.

Als oplossing tegen dergelijke cookiediefstal bedacht Google Device Bound Session Credentials. Het techbedrijf wil dat dit uiteindelijk een open webstandaard wordt. DBSC koppelt de ingelogde sessie van de gebruiker aan het onderliggende apparaat. Een aanvaller kan dan nog steeds cookies stelen, maar ze niet op zijn eigen systeem gebruiken omdat ze alleen op het betreffende apparaat van de gebruiker werken. Bij DBSC maakt de browser een public/private key pair aan op het apparaat en gebruikt het besturingssysteem om de private key zo op te slaan dat die lastig is te exporteren. Dit kan bijvoorbeeld via de Trusted Platform Module van de computer.

Google stelt dat voor elke sessie een unieke key wordt gebruikt en DBSC websites niet in staat stelt om keys van verschillende sessies op hetzelfde apparaat te correleren. Dit moet volgens Google 'persistent user tracking' voorkomen. Verder claimt het techbedrijf dat DBSC geen betekenisvolle informatie over het apparaat lekt. De enige informatie die naar de server wordt gestuurd is de per-sessie public key, die de server gebruikt om later te controleren dat de gebruiker ook de bijbehorende private key in bezit heeft.

Gebruikers kunnen de gemaakte keys op elk moment verwijderen. Wanneer gebruikers geen cookies accepteren wordt DBSC uitgeschakeld. Vorig jaar voerde Google al verschillende tests uit met Device Bound Session Credentials, maar heeft de maatregel nu toegevoegd aan Chrome 145. Chrome zal op de meeste systemen automatisch naar deze versie updaten.