ペンカ・フリストフスカ
Googleは、マルウェアを使用してブラウザのCookieを盗み、オンラインアカウントを乗っ取るハッキングの試みに対抗することを目的として、Chromeブラウザ用の新しいプロトタイプ機能を開発した。
「Device Bound Session Credentials」と名付けられたこの新しいテクノロジーは、暗号化を使用してハッカーが Cookie を盗んでログイン セッションをハイジャックするのをブロックします。
インターネット Cookie は、Web ブラウザによってコンピュータに保存される小さなテキスト ファイルです。これにより、ログイン詳細などの設定を Web サイトが記憶できるため、アクセスするたびに設定を再入力する必要がなくなります。ただし、ハッカーがコンピュータをマルウェアに感染させると、これらの Cookie がセキュリティ上の脆弱性になります。ハッカーはこれらの Cookie を簡単に盗み、パスワードを必要とせずにオンライン アカウントにアクセスできるからです。
「このような Cookie の盗難はログイン後に発生するため、2 要素認証やその他のログイン時の評判チェックがバイパスされます」と Google ソフトウェア エンジニアのクリスチャン モンセン氏はブログ投稿で説明しています。 「マルウェアが検出され削除された後も、盗まれた Cookie は機能し続けるため、ウイルス対策ソフトウェアで軽減することも困難です。」
この問題に対処するために、Google は認証 Cookie をユーザーの PC に「バインド」する方法、つまり Cookie に公開キー暗号化を組み込む戦略に取り組んでいます。これは、ブラウザが新しいログイン セッションを開始するたびに、ユーザーの PC 上で暗号化キーを直接生成することを意味します。このキーは、ログインが正当であることを Web サイトのサーバーに直接確認するために使用され、不正アクセスを阻止するための追加のセキュリティ層が追加されます。
暗号化キーの安全性を確保するために、Google は暗号キーを Windows PC のトラステッド プラットフォーム モジュール (TPM) チップ内に保存することを計画しています。このチップは、暗号キーの保護とオペレーティング システムの整合性の検証を目的として構築されており、現在では Windows 11 を実行するための要件となっています。
その後、Web サイトは、ログイン セッションに関連付けられた暗号化キーの正当性をチェックする API を使用して認証 Cookie の信頼性を確認し、セッションが安全で承認されていることを確認できます。
「これにより、セッションが引き続き同じデバイス上に存在し、サーバーによって設定された定期的な間隔でセッションが強制されるようになります」とモンセン氏は述べています。 「これにより、Cookie 盗難マルウェアの成功率が大幅に低下すると考えられます。攻撃者はデバイス上でローカルに行動することを余儀なくされるため、ウイルス対策ソフトウェアと企業管理デバイスの両方において、デバイス上の検出とクリーンアップがより効果的になります。」
Google は、このプロジェクトを「オープン ウェブ標準」にして、ウェブ上のすべてのユーザーのセキュリティを強化することを目指しており、2024 年末までにこのテクノロジーの完全運用トライアルを準備する予定です。
- SEO を活用したコンテンツと PR 配信。 今日増幅されます。
- PlatoData.Network 垂直生成 Ai。 自分自身に力を与えましょう。 こちらからアクセスしてください。
- プラトアイストリーム。 Web3 インテリジェンス。 知識増幅。 こちらからアクセスしてください。
- プラトンESG。 カーボン、 クリーンテック、 エネルギー、 環境、 太陽、 廃棄物管理。 こちらからアクセスしてください。
- プラトンヘルス。 バイオテクノロジーと臨床試験のインテリジェンス。 こちらからアクセスしてください。
- 情報源： https://www.safetydetectives.com/news/google-introduces-new-chrome-feature-to-combat-cookie-hijacking/
