Crédito: Mixvale.com.br
O Google aprimorou a segurança do navegador Chrome com um recurso inédito, projetado para combater a crescente onda de roubo de contas. Mesmo com a ampla adoção de ferramentas como autenticação de dois fatores e senhas complexas, a apropriação indevida de acessos online tem se tornado mais sofisticada. A inovação, lançada em 11 de agosto de 2026, visa proporcionar uma camada extra de proteção aos internautas.
Batizada de Credenciais de Sessão Vinculadas ao Dispositivo (DBSCs), essa tecnologia inovadora opera guardando uma chave de criptografia exclusiva. Essa chave fica abrigada em uma área de segurança inerente ao próprio equipamento onde o navegador está instalado. No ambiente Windows, a estrutura é conhecida como Módulo de Plataforma Confiável (TPM), enquanto em aparelhos macOS e iOS, a denominação é enclave seguro; outras plataformas empregam termos equivalentes. As edições mais recentes do Chrome para Windows e macOS já vêm preparadas para criar e preservar essa chave de forma robusta.
As DBSCs servem como uma defesa crucial contra a subtrações de cookies de sessão. Tais cookies consistem em sequências alfanuméricas exclusivas que sites e serviços online armazenam nos navegadores dos visitantes. A finalidade primordial desses elementos é otimizar a experiência de navegação em plataformas que exigem verificação contínua. Assim, em vez de o servidor solicitar credenciais a cada nova interação, ele identifica o acesso já realizado por intermédio do cookie.
A prática de roubar cookies de sessão ganhou força à medida que mecanismos de segurança como a verificação em duas etapas (2FA) e as chaves de acesso se popularizaram. Essas melhorias introduzem níveis adicionais de checagem, ultrapassando a simples senha para autorizar a entrada em áreas protegidas. Como resultado, táticas como ataques de phishing e outras formas menos sofisticadas de invadir contas tiveram sua efetividade diminuída.
Com o objetivo de driblar essas proteções mais recentes, cibercriminosos intensificaram o uso de programas maliciosos para subtrair dados e conduzir ataques conhecidos como “adversário no meio” (AIM). Ambas as abordagens se baseiam na intercepção de cookies de sessão. De posse desses cookies, os agressores os inserem em seus próprios navegadores, obtendo o mesmo nível de privilégio do usuário legítimo, ainda que por um tempo determinado. Isso demonstra a importância de defesas mais avançadas, como as DBSCs, que atuam diretamente contra esses vetores de ataque mais sofisticados.
As Credenciais de Sessão Vinculadas ao Dispositivo agem como uma salvaguarda direta contra a apropriação desses cookies. Quando um portal da web cria um cookie de sessão, o programa de navegação do usuário deve enviar uma versão autenticada do cookie, empregando a chave criptográfica armazenada no componente de segurança do hardware. As propriedades do TPM ou do enclave seguro asseguram o confinamento dessa chave, frustrando qualquer tentativa de acesso ou extração, o que garante um alto nível de proteção.
“O invasor não consegue extrair a chave privada do dispositivo, pois o TPM/Enclave Seguro impede sua liberação. Esta é a essência da proteção,” declarou Scott Helme, renomado pesquisador e fundador da Report URI. Ele detalhou que, mesmo que um criminoso consiga interceptar o cookie, ele não possuirá os meios para responder a um desafio DBSC, uma vez que a chave privada permanece isolada e protegida no hardware do usuário.
No momento, as Sessões Vinculadas ao Dispositivo (DBSCs) estão acessíveis somente para o Chrome na versão 147 no Windows e 150 no macOS. Contudo, a implantação é limitada a um grupo seleto de usuários. Aparentemente, o Google está realizando uma fase de testes antes de expandir a proteção para todos. Para conferir a ativação do recurso, usuários do Chrome nesses sistemas operacionais podem acessar as ferramentas de desenvolvimento, ir até a seção “Aplicativos” e verificar a presença da notificação “Sessões vinculadas ao dispositivo” ao efetuar login em um portal que suporte a tecnologia.
Permanece incerto quando, ou se de fato, outros navegadores baseados na plataforma Chromium irão integrar as DBSCs, mas há uma expectativa de que essa incorporação aconteça em um futuro não muito distante.
As DBSCs simbolizam o progresso mais recente em autenticação, com o intuito de reduzir a dependência de informações confidenciais compartilhadas, que historicamente se mostraram suscetíveis a violações. Neste modelo inovador, os servidores de internet passarão a guardar a chave pública de cada visitante. Posteriormente, esses servidores emitirão um desafio de autenticação que inclui o cookie de sessão. Para que a confirmação de acesso seja validada, ela deve ser assinada pela chave privada, que permanece resguardada no TPM ou no enclave seguro do dispositivo, um funcionamento análogo ao das chaves de acesso, que também buscam elevar a segurança digital ao vincular a autenticação ao hardware do usuário.
