Chrome ตัวใหม่ เพิ่มระบบความปลอดภัยผูกเซสชันกับชิปในเครื่อง ต่อให้ Cookie โดนขโมย แฮกเกอร์ก็เอาไปล็อกอินบนเครื่องอื่นไม่ได้
ตามปกติเวลาที่เราเข้าสู่ระบบเว็บไซต์ต่าง ๆ เบราว์เซอร์จะได้รับไฟล์ที่เรียกว่า Session Cookie เพื่อจดจำสถานะการล็อกอิน ทำให้เราท่องเว็บหน้าต่าง ๆ ได้ต่อเนื่องโดยไม่ต้องคอยกรอกรหัสผ่านซ้ำ
แต่ความสะดวกนี้กลับกลายเป็นช่องโหว่ยอดนิยมของแฮกเกอร์ โดยเฉพาะมัลแวร์กลุ่ม Infostealer ที่แอบเข้ามาขโมย Cookie ในเครื่องแล้วนำไปเปิดบนเบราว์เซอร์อื่น ซึ่งวิธีนี้ทำให้ผู้โจมตีสามารถสวมรอยเข้าบัญชีได้ทันที แม้ว่าเราจะตั้งรหัสผ่านที่ซับซ้อนหรือเปิดการยืนยันตัวตนสองขั้นตอนไว้แล้วก็ตาม
เพื่อแก้ปัญหานี้ Google จึงพัฒนาฟีเจอร์ใหม่ที่ชื่อว่า Device Bound Session Credentials ซึ่งเปลี่ยนแนวคิดจากการใช้ Cookie เป็นหลักฐานเพียงอย่างเดียว มาเป็นการผูกเซสชันเข้ากับชิปความปลอดภัยในตัวเครื่องโดยตรง โดยระบบจะสร้างกุญแจเข้ารหัสและเก็บรักษาไว้ในระดับฮาร์ดแวร์ เช่น ชิป TPM บน Windows หรือ Secure Enclave บน Mac
ซึ่งระบบปฏิบัติการหรือมัลแวร์ทั่วไปไม่สามารถดึงกุญแจนี้ออกไปได้ เมื่อเว็บไซต์ต้องการต่ออายุเซสชัน เว็บจะส่งโจทย์มาให้ชิปในเครื่องถอดรหัสยืนยันตัวตน หากแฮกเกอร์ขโมย Cookie ไปใช้งานบนเครื่องอื่น แต่ไม่มีกุญแจในชิปฮาร์ดแวร์เครื่องเดิม Cookie ชุดนั้นก็จะกลายเป็นข้อมูลที่ไร้ประโยชน์ทันที…
(ไหนใครเริ่มเห็นประโยชน์ของ TPM 2.0 หรือยางงง)
สำหรับคนใช้ Chrome ผู้ใช้งานจะได้รับการปกป้องที่สูงขึ้นแบบก้าวกระโดด เพราะต่อให้พลาดติดมัลแวร์หรือโดนดักข้อมูล บัญชีสำคัญที่ล็อกอินค้างไว้บนเว็บจะไม่ถูกแฮกเกอร์นำไปเปิดบนอุปกรณ์อื่นได้อีกต่อไป ถือเป็นการอุดช่องโหว่ที่ใหญ่ที่สุดของการขโมยเซสชันในปัจจุบันได้อย่างตรงจุด
ขณะเดียวกัน ความเปลี่ยนแปลงนี้ไม่กระทบต่อความสะดวกในการใช้งานเลยแม้แต่น้อย ผู้ใช้ไม่จำเป็นต้องเข้าไปกดตั้งค่า หรือยืนยันตัวตนเพิ่มให้ยุ่งยาก เพราะกระบวนการตรวจสอบกุญแจฮาร์ดแวร์และการต่ออายุ Cookie ทำงานอยู่เบื้องหลังทั้งหมด การใช้งานยังคงเหมือนเดิม คือล็อกอินครั้งเดียวแล้วใช้งานต่อได้ยาว ๆ โดยไม่ต้องพิมพ์รหัสผ่านซ้ำ
อย่างไรก็ดี ฟีเจอร์นี้จะทำงานได้อย่างสมบูรณ์ก็ต่อเมื่อเว็บไซต์ปลายทางพัฒนาระบบหลังบ้านมารองรับด้วย ซึ่งคาดว่าบริการในเครือของ Google จะเป็นกลุ่มแรก ๆ ที่เริ่มใช้งาน ก่อนจะขยายไปยังเว็บธนาคารและโซเชียลมีเดียชั้นนำ
โดยปัจจุบันเริ่มเปิดให้ผู้ใช้บางส่วนได้ทดสอบแล้วบน Chrome เวอร์ชัน 147 (Windows) และเวอร์ชัน 150 (macOS) ก่อนจะขยายสู่ผู้ใช้งานทุกคนในอนาคต
ที่มา : techspot
