Google het 'n nuwe sekuriteitsfunksie vir sy Chrome-blaaier onthul, genaamd App-Bound Encryption, wat die voorkoming van kwaadwillige sagteware wat inligting steel om toegang tot webkoekies op Windows-bedryfstelsels te probeer voorkom.
Volgens Will Harris van die Chrome-sekuriteitspan, gebruik Chrome die Databeskermings-API (DPAPI) om data in rus teen ander gebruikers of koue selflaai-aanvalle op Windows-stelsels te beskerm. DPAPI bied egter nie beskerming teen kwaadwillige toepassings wat kode as die aangemelde gebruiker uitvoer nie, wat dit kwesbaar maak vir aanvalle wat inligting steel.
Programgebonde enkripsie is 'n sekuriteitsmaatreël wat die Data Protection API (DPAPI) verbeter deur die identiteit van 'n toepassing, soos Chrome, binne die geënkripteerde data in te bed. Hierdie insluiting verseker dat ander toepassings op die stelsel nie toegang tot die data kan kry wanneer hulle probeer om dit te dekripteer nie. Harris het opgemerk dat as gevolg van die app-gebonde diens wat met stelselvoorregte werk, potensiële aanvallers hul voorregte sal moet verhoog of kode in Chrome moet inspuit om hierdie sekuriteitskenmerk te omseil; dit is 'n hoogs onwaarskynlike scenario vir 'n wettige sagteware.
Die enkripsiesleutel se stewige binding aan die masjien verhoed dat hierdie metode versoenbaar is met omgewings waar Chrome-profiele tussen veelvuldige masjiene beweeg. Organisasies wat swerfprofiele gebruik, word aanbeveel om beste praktyke te implementeer en die ApplicationBoundEncryptionEnabled op te stel ApplicationBoundEncryptionEnabled) beleid.
Hierdie onlangse sekuriteitverbetering, geïmplementeer in Chrome 127, fokus tans uitsluitlik op die beveiliging van webkoekies. Nietemin beoog Google om hierdie beskerming in die toekoms uit te brei om wagwoorde, betalingsinligting en bykomende stawingstekens in te sluit.
In April het Google 'n metode uiteengesit wat 'n Windows-gebeurtenislog-tipe, DPAPIDefInformationEvent, gebruik om gevalle van ander te identifiseer toepassings op die stelsel wat toegang tot blaaierkoekies en geloofsbriewe verkry.
Vir macOS- en Linux-stelsels verseker Chrome die sekuriteit van wagwoorde en koekies deur gebruik te maak van Sleutelhanger-dienste en beursies wat deur die stelsel voorsien word, soos kwallet of gnome-libsecret.
Hierdie ontwikkeling kom ná talle sekuriteitverbeterings wat in Chrome ingestel is, soos verbeterde Veiligblaai, Toestelgebonde Sessie-bewyse (DBSC) en outomatiese kontrole vir potensieel kwaadwillige aflaaie. Harris het beklemtoon dat programgebonde enkripsie die kompleksiteit en waarneembaarheid van datadiefstalpogings verhoog, wat sekuriteitspanne help om eksplisiete limiete te definieer vir aanvaarbare optrede deur ander toepassings binne die stelsel.
Verder moet daarop gelet word dat Google onlangs 'n besluit geneem het om nie derdepartykoekies in Chrome af te skei nie. Hierdie stap het kritiek van die World Wide Web Consortium (W3C) ondervind. Die W3C het kommer uitgespreek oor die voortgesette gebruik van derdeparty-koekies aangesien dit opsporing moontlik maak, wat negatiewe implikasies vir die samelewing kan hê, veral in terme van die ondersteuning van mikro-geteikende politieke boodskappe. Boonop het die W3C gewaarsku dat hierdie besluit moontlik die vordering in die ontwikkeling van lewensvatbare alternatiewe vir derdepartykoekies vir verskeie webblaaiers kan belemmer.