Google Chrome Refuerza la Seguridad con Credenciales de Sesión en Windows 11
Defender tu ordenador y tus perfiles contra el malware constante y los ataques parece una batalla interminable entre la seguridad y los actores malintencionados. Google ha decidido poner punto final a esta situación. Para combatir el aumento del secuestro de sesiones y el robo de cuentas sin contraseña, han lanzado su propia respuesta para los usuarios de Windows 11 en forma de credenciales de sesión de Google Chrome.
Esta nueva tecnología tiene grandes implicaciones, no solo para tu seguridad en línea, sino para toda la industria. Aquí analizamos las razones.
El Auge del Secuestro de Sesiones
La protección con contraseña y la autenticación multifactor han sido pilares de la seguridad en internet durante años, y con buena razón: son robustas y muy difíciles de vulnerar. Lamentablemente, los hackers encontraron una forma de evitarlo y, en lugar de forzar contraseñas, han optado por saltarse la puerta principal por completo. La mejor forma de entrar es por detrás.
El robo de cookies es la clave del secuestro de sesiones. Malware especializado como Lumma C2 o Redline se infiltra en un PC y roba la cookie de sesión activa, exfiltrándola. El hacker no necesita preocuparse por la contraseña porque la ha evitado efectivamente y ahora puede usar una cuenta como si fuera la víctima, ya iniciada.
Es un problema importante que ha aumentado en frecuencia en los últimos años, uno que Google ha buscado combatir desde la base. Es hora de reinventar el campo de juego.
Transformando la Seguridad de Internet con las Credenciales de Sesión de Google Chrome
A partir de Google Chrome 146 en adelante, el gigante tecnológico ha incluido su solución al secuestro de sesiones. El nombre completo del protocolo es Google Device Bound Session Credentials (bastante largo, lo sabemos) y se desarrolló mediante un proceso W3C junto con Microsoft para convertirse, en última instancia, en un estándar web abierto.
¿Qué implica esto? Mientras que la seguridad en internet se ha centrado principalmente en la puerta de entrada hasta ahora, el nuevo protocolo de Google mueve las comprobaciones de seguridad al interior para un monitoreo constante. Utiliza vinculación criptográfica de hardware, a través de medidas como el módulo de seguridad TPM, para añadir una capa extra de protección a las sesiones. Se requerirá tanto una cookie de sesión como el mismo dispositivo físico, mediante claves vinculadas al hardware. Hasta aquí, muy robusto.
Si se exfiltra una cookie de sesión, el hacker no podrá secuestrar una cuenta si usa un dispositivo diferente. Además, Google Chrome no envía identificadores de dispositivo a los servidores, por lo que tu PC está a salvo del fingerprinting de dispositivos.
Es un gran movimiento que podría indicar un cambio fundamental en la seguridad de la industria. No solo las empresas y sus departamentos de TI se beneficiarán de una protección más fuerte contra cookies de sesión robadas, sino que los sitios web que adopten DBSC pueden fortalecer la protección contra el robo de sesiones vinculando sesiones autenticadas a dispositivos de confianza. Los sitios más pequeños podrán añadir seguridad extra mediante procesos como la rotación constante dedicada y la actualización de sesiones.
El hecho de que Google haya desarrollado esto con Microsoft y lo haya convertido en un protocolo de estándar abierto muestra sus ambiciones y esperanzas para esta nueva tecnología.
Qué Significa Todo Esto en Windows 11
La buena noticia es que probablemente ya estás usando esta tecnología. Los usuarios de Windows 11 (desde Chrome 146) tienen acceso a las Credenciales de Sesión Vinculadas al Dispositivo de Google por defecto, protegiendo todo desde tu Google Workspace hasta una cuenta simple de Google. No se requiere ninguna acción para usarlo, e incluso las organizaciones lo tienen habilitado. Es protección gratuita lista para usar.
Los usuarios de Apple tendrán sus propias actualizaciones llegando a Mac pronto. Curiosamente, una versión anterior del protocolo de credenciales ha estado en uso por Chrome durante el último año antes de esta implementación.