Immaginate di aver costruito un castello con un sistema di serrature biometriche, per poi scoprire che il ladro non ha bisogno di forzare la porta, ma gli basta rubare la fotocopia della vostra chiave che avete lasciato in giro per la città.
Ecco, questo è esattamente il problema dei cookie di sessione che gli hacker stanno usando per svuotare i conti e rubare account con una facilità disarmante. Se riescono a intercettare il tuo token di sessione, per il server sei tu. Fine della discussione. Ma Google, nel suo eterno tentativo di non far collassare l’ecosistema web (o forse solo per evitare una class action), ha deciso di introdurre una novità che potrebbe cambiare le regole del gioco: le «device-bound session credentials».
In parole povere, l’idea è quella di legare la tua sessione al dispositivo fisico che stai usando. Non basta più avere il token; quel token deve essere accompagnato da una prova crittografica che dimostri che sta girando proprio su quel particolare hardware. È un po’ come se, oltre alla chiave, ti chiedessero di mostrare anche l’impronta digitale del dito che l’ha usata. Se un malintenzionato ti clona il cookie, il server dirà: «Ehi, questo token è valido, ma non viene dal tuo hardware abituale, quindi rimani fuori».
Tecnicamente è una figata atomica. Se funziona come promesso, la superficie di attacco per gli account takeover si riduce drasticamente. È quel tipo di innovazione che ti fa dire: «Finalmente qualcosa di utile che non sia un nuovo trucco per rincorrere i prezzi degli abbonamenti streaming».
Però, come sempre, non tutto è rose e fiori. C’è quel retrogusto amaro che noi che amiamo la flessibilità sentiamo subito. Legare la sessione in modo così stretto al device significa anche che spostarsi da un PC all’altro, o gestire sessioni multi-device, potrebbe diventare un mal di testa burocratico degno di un ufficio postale italiano il lunedì mattina. C’è il rischio concreto di creare un ecosistema dove la comodità viene sacrificata sull’altare di una sicurezza che, se da un lato protegge, dall’altro crea dei recinti digitali sempre più difficili da scavalcare.
In definitiva, Chrome sta cercando di blindare la porta, ma sta anche rendendo le chiavi un po’ più difficili da condividere. Per gli hacker sarà un incubo, per noi user che amiamo il multitasking e l’uso fluido di più dispositivi, sarà una sfida di configurazione. Restiamo in attesa di vedere quanto sarà rigido questo nuovo ‘muro’ e se, alla fine, finiremo tutti intrappolati nel nostro stesso hardware.
Source: Chrome adopts what may be the best protection yet against account takeovers