Google Chrome refuerza la seguridad con credenciales de sesión en Windows 11
Proteger tu ordenador y tus perfiles frente al malware constante y los ciberataques parece una batalla interminable entre las medidas de seguridad y los actores malintencionados. Alguien ha dicho ‘basta’ y ese alguien es Google. Para frenar el aumento del secuestro de sesiones y el robo de cuentas sin necesidad de contraseñas, han lanzado su propia solución para los usuarios de Windows 11 mediante las credenciales de sesión de Google Chrome.
Esta nueva tecnología tiene implicaciones importantes, no solo para tu seguridad en línea, sino para toda la industria. En este artículo analizamos las razones detrás de este movimiento.
El auge del secuestro de sesiones
La protección con contraseñas y la autenticación multifactor han sido pilares de la seguridad en internet durante años, y con buena razón: son sólidas y muy difíciles de vulnerar. Lamentablemente, los hackers han encontrado un método para sortear esto y, en lugar de forzar las contraseñas por fuerza bruta, han optado por evitar la puerta principal por completo. La mejor vía de acceso resulta ser la parte trasera.
El robo de cookies es la clave del secuestro de sesiones. Malware especializado como Lumma C2 o Redline se infiltra en un PC y sustrae la cookie de sesión activa, exfiltrándola. El hacker no necesita preocuparse por la contraseña porque efectivamente la ha bypassado y ahora puede utilizar una cuenta como si fuera la víctima, ya estando logueado.
Se trata de un problema grave que ha incrementado su frecuencia en los últimos años, uno que Google ha buscado combatir desde la base. Es momento de reinventar las reglas del juego.
Cambiando la seguridad de internet con las credenciales de sesión de Google Chrome
A partir de Google Chrome 146 y versiones posteriores, el gigante tecnológico ha incluido su solución al secuestro de sesiones. El nombre completo del protocolo es Google Device Bound Session Credentials (bastante largo, lo sabemos) y fue desarrollado mediante un proceso de la W3C junto con Microsoft para convertirse, en última instancia, en un estándar web abierto.
Entonces, ¿qué implica esto? Mientras que la seguridad en internet se ha centrado mayoritariamente en la puerta de entrada hasta este punto, el nuevo protocolo de Google traslada las comprobaciones de seguridad al interior para un monitoreo constante. Utiliza vinculación criptográfica de hardware, a través de medidas como el módulo de seguridad TPM, para añadir una capa extra de protección a las sesiones. Se requerirá tanto una cookie de sesión como el mismo dispositivo físico, mediante claves atadas al hardware. Hasta aquí, todo muy robusto.
Si una cookie de sesión es exfiltrada, el hacker no podrá secuestrar una cuenta si utiliza un dispositivo diferente. Además, Google Chrome no envía identificadores de dispositivo a los servidores, por lo que tu PC está a salvo del fingerprinting de dispositivos.
Es un movimiento significativo que podría indicar un cambio fundamental en la seguridad de la industria. No solo las empresas y sus departamentos de TI se beneficiarán de una protección más fuerte contra cookies de sesión robadas, sino que los sitios web que adopten DBSC pueden reforzar la protección contra el robo de sesiones vinculando las sesiones autenticadas a dispositivos de confianza. Los sitios más pequeños podrán añadir seguridad extra mediante procesos como la rotación constante dedicada y la actualización de sesiones.
El hecho de que Google haya desarrollado esto con Microsoft y lo haya convertido en un protocolo de estándar abierto muestra sus ambiciones y esperanzas para esta nueva tecnología.
¿Qué significa todo esto en Windows 11?
La buena noticia es que probablemente ya estás utilizando esta tecnología. Los usuarios de Windows 11 (desde Chrome 146) tienen acceso a las Credenciales de Sesión Vinculadas al Dispositivo de Google por defecto, protegiendo todo desde tu Google Workspace hasta una cuenta simple de Google. No se requiere ninguna acción para usarlo, e incluso las organizaciones lo tienen habilitado. Es protección gratuita lista para usar.
Los usuarios de Apple tendrán sus propias actualizaciones llegando a Mac pronto. Curiosamente, una versión anterior del protocolo de credenciales ha estado en uso por Chrome durante el último año antes de esta implementación.