Sorun: Oturum Çerezi Hırsızlığı (Session Cookie Theft)
Günümüzde bilgi hırsızı (infostealer) zararlı yazılımlar, kullanıcıların tarayıcılarında depolanan oturum çerezlerini hedef almaktadır. Bu çerezler çalındığında, saldırganlar kullanıcının şifresine veya iki faktörlü kimlik doğrulamasına (2FA) ihtiyaç duymadan, sanki kullanıcıymış gibi oturum açabilirler. Bu durum, 'Session Hijacking' olarak adlandırılan ciddi bir güvenlik açığına yol açar.
Çözüm: Device Bound Session Credentials (DBSC)
Google, Chrome 146 sürümüyle birlikte DBSC (Cihaza Bağlı Oturum Kimlik Bilgileri) teknolojisini devreye almıştır. DBSC, oturum çerezlerini belirli bir donanım cihazına (TPM modülü gibi) kriptografik olarak bağlar. Böylece, çerez dosyası başka bir bilgisayara kopyalansa bile, saldırganın cihazında çalışmayacaktır.
DBSC Yapılandırma ve Kontrol Adımları
- Chrome tarayıcınızı en az 146 sürümüne güncelleyin.
- Adres çubuğuna
chrome://flagsyazarak deneysel özellikler menüsüne girin. - 'Device Bound Session Credentials' ifadesini aratın.
- Ayarı 'Enabled' konumuna getirin (varsayılan olarak etkin gelmektedir).
- Değişikliklerin geçerli olması için tarayıcıyı yeniden başlatın.
Uyarı: DBSC, şu an için desteklenen web sitelerinde çalışmaktadır. Tüm web siteleri henüz bu protokolü desteklememektedir.
Doğrulama Komutları
DBSC'nin aktif olup olmadığını kontrol etmek için Chrome içindeki dahili ağ günlüğünü inceleyebilirsiniz:
chrome://net-export/Bu arayüz üzerinden 'Start Logging' diyerek oturumunuzun DBSC ile korunup korunmadığını JSON çıktıları üzerinden analiz edebilirsiniz.
Neden Önemli?
Geleneksel güvenlik yöntemleri, çerezlerin çalınmasını engellemekte yetersiz kalıyordu. DBSC, oturumu donanım seviyesinde kilitleyerek, çalınan verinin saldırganın elinde değersiz hale gelmesini sağlar. Bu, özellikle kurumsal ortamlarda ve hassas veri erişimi olan kullanıcılar için kritik bir savunma katmanıdır. DBSC, sadece bir yazılım yaması değil, tarayıcı güvenliğinde köklü bir mimari değişikliktir.
