- Η κλοπή των cookie συνεδρίας επιτρέπει στους χάκερ να παρακάμπτουν το 2FA και να κλέβουν λογαριασμούς.
- Η Google εισάγει την τεχνολογία DBSC (Device Bound Session Credentials) στο Chrome για να κλειδώσει τα cookie στη συσκευή σας.
- Απαιτούνται επικαιροποιημένα συστήματα προστασίας και λύσεις hardware (όπως το TPM) για την αντιμετώπιση σύγχρονων απειλών.
Η κλοπή των cookie συνεδρίας αποτελεί μία από τις πιο κρίσιμες απειλές στην ασφάλεια του διαδικτύου. Επιτρέπει στους κυβερνοεγκληματίες να υποδύονται ανενόχλητοι άλλους χρήστες, χωρίς καν να γνωρίζουν τα προσωπικά διαπιστευτήρια σύνδεσης.
Για την αντιμετώπιση αυτού του προβλήματος, η νέα άμυνα της Google ενσωματώνεται στο Chrome μέσω της τεχνολογίας DBSC.
Όταν συνδεόμαστε σε έναν ιστότοπο χρησιμοποιώντας το όνομα χρήστη και τον κωδικό πρόσβασης, συχνά επιλέγουμε το κουτάκι «Να με θυμάσαι».
Για να μην απαιτείται νέα ταυτοποίηση σε κάθε επίσκεψη, το σύστημα αποθηκεύει αυτόματα τις λεπτομέρειες της σύνδεσης στην τοπική συσκευή.
Αυτό γίνεται με τη μορφή μικρών αρχείων κειμένου που ονομάζονται cookie.
Ακόμα και αν έχετε ενεργοποιήσει τον έλεγχο ταυτότητας δύο παραγόντων (2FA), η κλοπή ενός ενεργού cookie συνεδρίας επιτρέπει στους επιτιθέμενους να παρακάμψουν πλήρως αυτό το μέτρο ασφαλείας.
Αυτά τα μικρά αρχεία δεδομένων περιέχουν ένα μοναδικό αναγνωριστικό συνεδρίας (session ID). Αυτή η πολύτιμη πληροφορία επιτρέπει στον χρήστη να περιηγείται ελεύθερα χωρίς συνεχή logins. Ωστόσο, η υποκλοπή αυτών των cookie δίνει τη δυνατότητα σε έναν επιτιθέμενο να κλέψει την ψηφιακή ταυτότητα οποιουδήποτε ανυποψίαστου ατόμου.
Με απλά λόγια, χωρίς να γνωρίζει τον σωστό κωδικό πρόσβασης, ο χάκερ μπορεί να αναλάβει πλήρως τον έλεγχο. Μόλις το cookie συνεδρίας κλαπεί, ο εισβολέας μπορεί να εκτελέσει κάθε είδους συναλλαγή σαν να ήταν ο νόμιμος κάτοχος του λογαριασμού.
Κλοπή των cookie συνεδρίας: είναι στην ημερήσια διάταξη
Ένα cookie συνεδρίας δημιουργείται και αποθηκεύεται στη συσκευή σας όταν συνδέεστε επιτυχώς σε μια σελίδα. Αυτό το αρχείο περιέχει μοναδικά κρυπτογραφημένα δεδομένα που επιτρέπουν στον διακομιστή να σας αναγνωρίσει.
Έτσι, εξασφαλίζεται η αυθεντικότητα της σύνδεσής σας σε κάθε επόμενη κίνηση στον ιστότοπο.
Όταν ένας χρήστης εισάγει τα διαπιστευτήριά του, το σύστημα ελέγχει τα στοιχεία και δημιουργεί μια ενεργή συνεδρία. Για να αναγνωρίσει αυτή τη διαδικασία, ο διακομιστή παράγει το λεγόμενο session ID.
Αυτό το αναγνωριστικό αποστέλλεται απευθείας στο πρόγραμμα περιήγησης (browser) του χρήστη.
Το πρόγραμμα περιήγησης αποθηκεύει το session ID τοπικά, δημιουργώντας το cookie συνεδρίας. Συνήθως, αυτό το αρχείο δεν περιέχει προσωπικά δεδομένα, αλλά λειτουργεί αποκλειστικά ως «κλειδί». Κάθε φορά που αλληλεπιδράτε με τον ιστότοπο, το browser στέλνει αυτό το κλειδί στον διακομιστή.
Το cookie συνεδρίας λήγει μόνο όταν περάσει το χρονικό όριο που έχει θέσει ο ιστότοπος. Αν συμβεί αυτό, απαιτείται νέα σύνδεση από τον χρήστη.
Κάποιοι ιστότοποι, όμως, ανανεώνουν αυτόματα το cookie, διατηρώντας τη σύνδεση ενεργή επ’ αόριστον.
| Χαρακτηριστικό | Παραδοσιακά Cookie | Cookie με DBSC (Google) |
|---|---|---|
| Δέσμευση Συσκευής | Καμία (μπορούν να μεταφερθούν) | Απόλυτη (κλειδωμένα στο hardware) |
| Χρήση μετά από κλοπή | Πλήρως λειτουργικά για τον χάκερ | Άχρηστα χωρίς το τσιπ TPM |
| Παράκαμψη 2FA | Ναι, πολύ εύκολα | Όχι, η συνεδρία ακυρώνεται |
Η υποκλοπή ταυτότητας μέσω cookie
Το FBI προειδοποίησε πρόσφατα τους χρήστες να είναι εξαιρετικά προσεκτικοί με τη διαχείριση των cookie. Οι αρχές έχουν καταγράψει μαζικά κύματα επιθέσεων που βασίζονται αποκλειστικά σε αυτή τη μέθοδο.
Ωστόσο, η κλοπή των cookie συνεδρίας δεν είναι ένα καινούργιο φαινόμενο.
Η τεχνική του session hijacking είναι εξαιρετικά επικίνδυνη για υπηρεσίες webmail, όπως το Gmail και το Outlook. Αυτοί οι λογαριασμοί περιέχουν τεράστιο όγκο προσωπικών δεδομένων και τραπεζικών πληροφοριών.
Οι εγκληματίες του κυβερνοχώρου μπορούν να οργανώσουν εξαιρετικά στοχευμένες επιθέσεις χρησιμοποιώντας αυτά τα στοιχεία.
Σύμφωνα με πρόσφατες αναφορές κυβερνοασφάλειας, η χρήση κακόβουλου λογισμικού τύπου “Infostealer” για την υποκλοπή cookie έχει αυξηθεί κατακόρυφα τον τελευταίο χρόνο.
Οι χάκερ χρησιμοποιούν διάφορες προηγμένες τεχνικές για να κλέψουν αυτά τα αρχεία. Οι επιθέσεις τύπου man-in-the-middle (MITM) είναι πλέον σπάνιες λόγω του πρωτοκόλλου HTTPS.
Σήμερα, οι περισσότερες κλοπές γίνονται μέσω εξειδικευμένου κακόβουλου λογισμικού (malware).
Ένα κακόβουλο πρόγραμμα που τρέχει στο σύστημά σας μπορεί εύκολα να αντιγράψει τα αρχεία cookie.
Το χειρότερο είναι ότι τα κλεμμένα cookie παραμένουν ενεργά. Ακόμη και αν αφαιρέσετε τον ιό από τον υπολογιστή σας, ο χάκερ διατηρεί την πρόσβαση.
Η απάντηση της Google: το σύστημα DBSC
Για να αντιμετωπίσει την επικίνδυνη τάση του cookie hijacking, η Google εισήγαγε το Device Bound Session Credentials (DBSC). Αυτό το εργαλείο είναι ενσωματωμένο στο Chrome 146 και στις νεότερες εκδόσεις του.
Ο στόχος του είναι να καταστήσει τα κλεμμένα cookie εντελώς άχρηστα.
Η κεντρική ιδέα του DBSC είναι η σύνδεση της συνεδρίας απευθείας με το υλικό της συσκευής σας.
Το σύστημα δημιουργεί ένα κρυπτογραφικό ζεύγος κλειδιών (δημόσιο και ιδιωτικό) σε τοπικό επίπεδο.
Για την αποθήκευση του ιδιωτικού κλειδιού, το DBSC βασίζεται στο ειδικό τσιπ ασφαλείας TPM του υπολογιστή σας.
Κάθε ενεργή συνεδρία αποκτά ένα απολύτως μοναδικό κλειδί. Το σύστημα αποτρέπει τη συσχέτιση δεδομένων μεταξύ διαφορετικών συνεδριών, προστατεύοντας έτσι την ιδιωτικότητά σας.
Αν χρειαστεί, ο χρήστης μπορεί να διαγράψει τα κλειδιά μέσα από τις ρυθμίσεις του Google Chrome.
Πώς λειτουργεί η προστασία υλικού στο Chrome
Το σύστημα δημιουργεί έναν κρυπτογραφικό δεσμό μεταξύ του λογαριασμού και του υπολογιστή σας. Κατά το login, το Chrome παράγει το ζεύγος των κλειδιών ασφαλείας.
Το ιδιωτικό κλειδί παραμένει κλειδωμένο στο TPM (στα Windows) ή στο Secure Enclave (στο macOS).
Ο διακομιστής ελέγχει συνεχώς την παρουσία του σωστού κλειδιού στη συσκευή. Χωρίς το φυσικό τσιπ ασφαλείας, ο χάκερ δεν μπορεί να κάνει τίποτα.
Τα κλεμμένα αρχεία cookie απορρίπτονται αμέσως από τον ιστότοπο και η παράνομη πρόσβαση μπλοκάρεται.
Το DBSC σχεδιάστηκε για να λειτουργεί στο παρασκήνιο χωρίς να απαιτεί καμία επιπλέον ενέργεια από τους χρήστες, εξασφαλίζοντας μια ομαλή και ασφαλή εμπειρία περιήγησης.
Αν και το DBSC δεν εξαλείφει το malware, μειώνει δραματικά τις συνέπειες μιας πιθανής μόλυνσης. Οι χάκερ με τα infostealers ίσως υποκλέψουν αρχεία, αλλά οι λογαριασμοί σας παραμένουν ασφαλείς.
Τα δοκιμαστικά δεδομένα της Google δείχνουν τεράστια μείωση στις επιτυχημένες επιθέσεις.
Πρόσθετα μέτρα προστασίας και το μέλλον της αυθεντικοποίησης
Ενώ η τεχνολογία DBSC της Google αποτελεί ένα τεράστιο βήμα για την ασφάλεια, δεν είναι η μοναδική λύση.
Για να εξασφαλίσετε την απόλυτη προστασία των δεδομένων σας, πρέπει να εφαρμόζετε μια πολυεπίπεδη στρατηγική άμυνας.
Η εξάρτηση από ένα μόνο εργαλείο συχνά δημιουργεί ψευδαίσθηση ασφάλειας.
Ένα από τα πιο αποτελεσματικά συμπληρωματικά μέτρα είναι η χρήση φυσικών κλειδιών ασφαλείας (Security Keys), όπως τα YubiKey.
Αυτές οι hardware συσκευές ταυτοποίησης προσφέρουν προστασία επιπέδου FIDO2.
Σε συνδυασμό με το DBSC, καθιστούν σχεδόν αδύνατη την πλήρη κατάληψη του λογαριασμού σας.
| Επίπεδο Άμυνας | Περιγραφή Εργαλείου | Τι αποτρέπει |
|---|---|---|
| Βασικό | Ισχυροί Κωδικοί & Password Managers | Επιθέσεις Brute-force & μαντέματα |
| Ενδιάμεσο | Παραδοσιακό 2FA (SMS ή Authenticator) | Είσοδο από μη εξουσιοδοτημένες συσκευές |
| Προηγμένο | DBSC & Hardware Security Keys (FIDO2) | Κλοπή Session Cookies & Phishing επιθέσεις |
Οι επιχειρήσεις οφείλουν να προσαρμοστούν γρήγορα στη νέα αυτή πραγματικότητα. Η υιοθέτηση της αρχιτεκτονικής Zero Trust (Μηδενικής Εμπιστοσύνης) γίνεται πλέον επιτακτική ανάγκη.
Με αυτό το μοντέλο, κανένας χρήστης ή συσκευή δεν θεωρείται αυτόματα ασφαλής, ανεξάρτητα από τα cookie του.
Τι πρέπει να κάνετε, όμως, αν υποψιάζεστε ότι τα δεδομένα σας έχουν υποκλαπεί; Το πρώτο και πιο κρίσιμο βήμα είναι να κάνετε αποσύνδεση (Sign out) από όλες τις ενεργές συσκευές μέσω των ρυθμίσεων του λογαριασμού σας.
Αυτή η ενέργεια ακυρώνει άμεσα όλα τα παλαιότερα cookie.
Ελέγχετε τακτικά τις ρυθμίσεις του λογαριασμού σας στην Google για “Συσκευές με πρόσβαση στον λογαριασμό σας”. Αφαιρέστε άμεσα οποιαδήποτε άγνωστη συσκευή ή τοποθεσία.
Αμέσως μετά, αλλάξτε τον κωδικό πρόσβασής σας και σαρώστε τον υπολογιστή σας με ένα αξιόπιστο λογισμικό Antivirus.
Ακόμα και με τεχνολογίες αιχμής όπως το DBSC, το κακόβουλο λογισμικό μπορεί να κλέψει άλλα πολύτιμα δεδομένα από τον σκληρό σας δίσκο.
Η εξέλιξη της τεχνολογίας, όπως η μετάβαση στα Passkeys (Κλειδιά Πρόσβασης), δείχνει ξεκάθαρα το μέλλον.
Σε συνδυασμό με το Google Chrome DBSC, δημιουργείται ένα οικοσύστημα όπου οι κωδικοί πρόσβασης θα αποτελούν παρελθόν.
Μέχρι τότε, η ψηφιακή μας επαγρύπνηση παραμένει το ισχυρότερο όπλο μας ενάντια στο σύγχρονο κυβερνοέγκλημα.
