Chrome protegge le sessioni dai cookie rubati, come funzionano le credenziali legate al dispositivo

Google ha introdotto in Chrome una nuova difesa contro il furto delle sessioni di accesso. Le Device Bound Session Credentials, abbreviate in DBSC, collegano la sessione autenticata al dispositivo usato dall’utente, riducendo la possibilità che un criminale informatico possa riutilizzare altrove un cookie sottratto. La funzione è stata resa disponibile in Chrome 145 su Windows dopo una fase di sperimentazione iniziata nelle versioni precedenti.

Il sistema interviene su uno dei punti più delicati dell’autenticazione online. Dopo il login, molti siti salvano nel browser un cookie di sessione che permette di continuare a navigare senza inserire nuovamente password o altri fattori di verifica a ogni pagina. Se quel cookie viene copiato, però, un aggressore può tentare di usarlo sul proprio computer per impersonare la vittima.

Questo tipo di attacco è diventato particolarmente rilevante con la diffusione dell’autenticazione a due fattori e delle passkey. Password e codici aggiuntivi rendono più difficile entrare direttamente in un account, mentre il furto di una sessione già autenticata può consentire di aggirare almeno temporaneamente alcune delle protezioni applicate durante il login.

Le DBSC cambiano il meccanismo associando alla sessione una coppia di chiavi crittografiche. La chiave privata resta protetta dall’hardware del computer e non viene normalmente esportata. Su Windows Chrome può sfruttare il Trusted Platform Module, mentre il server conserva gli elementi necessari per verificare che le successive richieste provengano ancora dal dispositivo che ha avviato la sessione.

Durante la navigazione il server può chiedere periodicamente al browser una prova del possesso della chiave privata. Chrome firma la richiesta sul dispositivo e, se la verifica riesce, la sessione viene rinnovata. Copiare soltanto il cookie diventa quindi molto meno utile, perché un altro computer non dispone della chiave necessaria per dimostrare di essere il dispositivo autorizzato.

La misura punta soprattutto a contrastare gli infostealer, malware progettati per sottrarre password, cookie e altri dati conservati nel browser, oltre agli attacchi che intercettano una sessione tra utente e servizio. In questi casi il criminale prova a trasferire i dati rubati nel proprio browser per ottenere gli stessi privilegi della persona colpita.

Google aveva avviato i primi test pubblici delle DBSC con Chrome 135 nell’aprile 2025, per poi ampliare la sperimentazione con Chrome 142. Nel 2026 la tecnologia è passata alla distribuzione stabile su Windows, rendendo disponibile ai siti compatibili un sistema pensato specificamente per limitare il riutilizzo dei cookie su dispositivi diversi.

La protezione richiede comunque il supporto del servizio online: non basta aggiornare Chrome perché ogni sito inizi automaticamente a utilizzare sessioni legate al dispositivo. Sono i server che devono adottare il protocollo e richiedere al browser le verifiche crittografiche previste dalle DBSC.

Il principio è simile a quello delle passkey perché elimina la dipendenza esclusiva da un segreto che può essere copiato e trasferito. Nel caso delle DBSC, però, l’obiettivo non è sostituire la password durante il login, ma proteggere soprattutto ciò che avviene dopo l’autenticazione, quando una sessione valida è già stata creata e diventa un bersaglio per chi tenta di impossessarsi dell’account.