Chrome新安全功能让被盗会话cookie几乎无用

谷歌浏览器正在引入一项名为设备绑定会话凭证的新安全特性，该技术利用硬件支持的加密密钥来增强被盗会话cookie的安全性。这项功能通过将认证网络会话与用户登录时使用的设备关联起来，使得攻击者即使获取了用户的会话cookie也无法在另一台设备上使用它进行非法操作。谷歌浏览器会在会话设置过程中创建并存储私有密钥于受保护的硬件中（如Windows系统的TPM或苹果设备的Secure Enclave），而网站则保存对应的公钥。当需要维护或刷新会话时，站点可以要求浏览器用该私钥签署挑战信息以验证身份。由于攻击者无法访问原始设备上的加密密钥，因此被盗cookie将变得无用。这项技术旨在解决日益严重的会话盗窃问题，并为用户提供更安全的在线体验。