Google, Chrome tarayıcısı için, bilgi çalan kötü amaçlı yazılımların Windows işletim sistemlerindeki çerezlere erişmeye çalışmasının önlenmesini hedefleyen Uygulamaya Bağlı Şifreleme adı verilen yeni bir güvenlik özelliğini açıkladı.
Chrome Güvenlik Ekibi'nden Will Harris'ye göre Chrome, Veri Koruma API'sini (DPAPI) kullanıyor Kullanılmayan verileri diğer kullanıcılardan veya Windows sistemlerindeki soğuk başlatma saldırılarından korumak için. Ancak DPAPI, oturum açmış kullanıcı olarak kod çalıştıran kötü amaçlı uygulamalara karşı koruma sağlamaz ve bu da onu bilgi çalma saldırılarına karşı savunmasız bırakır.
Uygulamaya bağlı şifreleme, Chrome gibi bir uygulamanın kimliğini şifrelenmiş verilere yerleştirerek Veri Koruma API'sini (DPAPI) iyileştiren bir güvenlik önlemidir. Bu dahil etme, sistemdeki diğer uygulamaların şifresini çözmeye çalışırken verilere erişememesini sağlar. Harris, uygulamaya bağlı hizmetin sistem ayrıcalıklarıyla çalışması nedeniyle, potansiyel saldırganların bu güvenlik özelliğini atlamak için ayrıcalıklarını yükseltmeleri veya Chrome'a kod eklemeleri gerekeceğini belirtti; bu meşru bir yazılım için pek olası olmayan bir senaryodur.
Şifreleme anahtarının makineye sıkı bağlanması, bu yöntemin Chrome profillerinin birden fazla makine arasında taşındığı ortamlarla uyumlu olmasını engeller. Gezici profiller kullanan kuruluşların en iyi uygulamaları uygulamaları ve ApplicationBoundEncryptionEnabled kurmaları önerilir. ApplicationBoundEncryptionEnabled) ilkesi.
Chrome 127'de uygulanan bu yeni güvenlik geliştirmesi şu anda yalnızca çerezlerin korunmasına odaklanmaktadır. Bununla birlikte Google, gelecekte bu korumayı şifreleri, ödeme bilgilerini ve ek kimlik doğrulama jetonlarını kapsayacak şekilde genişletmeyi planlıyor.
Nisan ayında Google, diğer olayların örneklerini tanımlamak için Windows olay günlüğü türü DPAPIDEfInformationEvent'i kullanan bir yöntemin ana hatlarını çizdi. Sistemdeki tarayıcı çerezlerine ve kimlik bilgilerine erişen uygulamalar.
Chrome, macOS ve Linux sistemleri için Keychain hizmetlerinden ve kwallet veya gnome-libsecret gibi sistem tarafından sağlanan cüzdanlardan yararlanarak şifrelerin ve çerezlerin güvenliğini sağlar.
Bu gelişme, gelişmiş Güvenli Tarama, Cihaza Bağlı Oturum Kimlik Bilgileri (DBSC) ve potansiyel olarak kötü amaçlı indirmelere yönelik otomatik kontroller gibi Chrome'da sunulan çok sayıda güvenlik geliştirmesinden sonra geldi. Harris, uygulamaya bağlı şifrelemenin, veri hırsızlığı çabalarının karmaşıklığını ve tespit edilebilirliğini artırdığını, güvenlik ekiplerinin sistem içindeki diğer uygulamalar tarafından kabul edilebilir eylemler için açık sınırlar tanımlamasına yardımcı olduğunu vurguladı.
Ayrıca Google'ın yakın zamanda Chrome'daki üçüncü taraf çerezlerini kullanımdan kaldırmama kararı aldığını da belirtmek gerekir. Bu hamle World Wide Web Konsorsiyumu'nun (W3C) eleştirilerine maruz kaldı. W3C, üçüncü taraf çerezlerinin izlemeye olanak sağladığı için sürekli olarak kullanılmasına ilişkin endişelerini dile getirdi; bu durum, özellikle mikro hedefli siyasi mesajların desteklenmesi açısından toplum üzerinde olumsuz sonuçlar doğurabilir. Ayrıca W3C, bu kararın çeşitli web tarayıcıları için üçüncü taraf çerezlerine uygun alternatifler geliştirmedeki ilerlemeyi potansiyel olarak engelleyebileceği konusunda uyardı.