Google представив нову функцію безпеки для свого браузера Chrome під назвою App-Bound Encryption, яка спрямована на запобігання спробам зловмисного програмного забезпечення, що викрадає інформацію, отримати доступ до файлів cookie в операційних системах Windows.
За словами Вілла Харріса із команди безпеки Chrome, Chrome використовує API захисту даних (DPAPI). для захисту даних у стані спокою від інших користувачів або атак холодного завантаження систем Windows. Однак DPAPI не забезпечує захист від зловмисних програм, які виконують код від імені зареєстрованого користувача, що робить його вразливим до атак з метою крадіжки інформації.
Шифрування, пов’язане з програмою, — це захід безпеки, який покращує Data Protection API (DPAPI) шляхом вбудовування ідентифікаційної інформації програми, наприклад Chrome, у зашифровані дані. Це включення гарантує, що інші програми в системі не зможуть отримати доступ до даних під час спроби їх розшифрувати. Гарріс зауважив, що через пов’язану з додатком службу, яка працює із системними привілеями, потенційним зловмисникам потрібно буде підвищити свої привілеї або ввести код у Chrome, щоб обійти цю функцію безпеки; це дуже малоймовірний сценарій для законного програмного забезпечення.
Тісний зв’язок ключа шифрування з машиною запобігає сумісності цього методу із середовищами, де профілі Chrome переміщуються між кількома машинами. Організаціям, які використовують переміщувані профілі, рекомендовано впровадити передові методи та налаштувати ApplicationBoundEncryptionEnabled.
Це нещодавнє вдосконалення безпеки, реалізоване в Chrome 127, наразі зосереджено виключно на захисті файлів cookie. Тим не менш, Google має намір у майбутньому розширити цей захист, щоб охопити паролі, платіжну інформацію та додаткові маркери автентифікації.
У квітні Google опублікував метод, який використовує тип журналу подій Windows, DPAPIDefInformationEvent, для ідентифікації інших програми в системі, які отримують доступ до файлів cookie та облікових даних браузера.
Для систем macOS і Linux Chrome забезпечує безпеку паролів і файлів cookie, використовуючи служби Keychain і надані системою гаманці, такі як kwallet або gnome-libsecret.
Ця розробка сталася після численних удосконалень безпеки, представлених у Chrome, таких як розширений безпечний перегляд, облікові дані сеансу, пов’язані з пристроєм (DBSC), і автоматичні перевірки на наявність потенційно шкідливих завантажень. Гарріс підкреслив, що шифрування, пов’язане з програмою, підвищує складність і здатність виявляти спроби крадіжки даних, допомагаючи командам безпеки визначати чіткі обмеження для прийнятних дій інших програм у системі.
Крім того, слід зазначити, що Google нещодавно прийняв рішення не припиняти підтримку сторонніх файлів cookie в Chrome. Цей крок наштовхнувся на критику Консорціуму Всесвітньої павутини (W3C). W3C висловив стурбованість продовженням використання файлів cookie третіх сторін, оскільки вони дозволяють відстежувати, що може мати негативні наслідки для суспільства, зокрема з точки зору підтримки мікроцільових політичних повідомлень. Крім того, W3C попередила, що це рішення потенційно може перешкодити прогресу в розробці життєздатних альтернатив стороннім файлам cookie для різних веб-браузерів.