أعلنت شركة جوجل عن الإتاحة العامة لميزة Device Bound Session Credentials (DBSC) لمستخدمي متصفح كروم على نظام ويندوز، وذلك ابتداءً من الإصدار 146. هذه الخطوة تأتي بعد أشهر من الاختبارات المفتوحة، وتهدف إلى مواجهة واحدة من أخطر التهديدات الأمنية في العصر الرقمي: سرقة الجلسات.
ما هي سرقة الجلسات ولماذا تُعد خطيرة؟
سرقة الجلسات تحدث عندما يتمكن المهاجمون من استخراج ملفات تعريف الارتباط (Cookies) الخاصة بالجلسات من المتصفح، سواء عبر برمجيات خبيثة أو عبر مراقبة تسجيل الدخول. هذه الملفات غالبًا ما تكون طويلة العمر، مما يسمح للمهاجمين بالوصول إلى حسابات المستخدمين دون الحاجة إلى كلمات المرور. وتُباع هذه الرموز لاحقًا في أسواق سوداء رقمية، حيث يستخدمها مجرمون آخرون لتنفيذ هجمات إضافية.
آلية عمل DBSC
الميزة الجديدة تعمل على ربط بيانات الجلسة بجهاز المستخدم نفسه عبر آليات تشفير مدعومة من العتاد. على نظام ويندوز، يتم استخدام وحدة TPM، بينما على macOS سيتم الاعتماد على Secure Enclave. تقوم هذه الوحدات بإنشاء زوج مفاتيح عام/خاص لا يمكن تصديره من الجهاز. وعند إصدار ملفات تعريف ارتباط جديدة قصيرة العمر، يتعين على كروم إثبات امتلاكه للمفتاح الخاص أمام الخادم. وبذلك تصبح ملفات تعريف الارتباط المسروقة عديمة القيمة، إذ تنتهي صلاحيتها سريعًا ولا يمكن استخدامها من قبل المهاجمين.
الخصوصية والتكامل مع المؤسسات
أوضحت جوجل أن تصميم DBSC يراعي الخصوصية، حيث لا يتم تسريب أي بيانات تعريفية للجهاز أو معلومات تحقق إضافية للخادم، باستثناء المفتاح العام الخاص بكل جلسة. هذا يضمن أن الميزة لا تُستخدم كآلية لتتبع المستخدمين عبر المواقع المختلفة أو كوسيلة لبصمة الجهاز. كما تعمل جوجل مع مايكروسوفت لجعل هذه التقنية معيارًا مفتوحًا للويب، مع خطط مستقبلية لتوسيع نطاقها لتشمل أنظمة تشغيل أخرى وتكاملات أعمق مع بيئات المؤسسات.
أثر الميزة على مشهد الأمن السيبراني
منذ إطلاقها التجريبي، لاحظت جوجل انخفاضًا ملحوظًا في حوادث سرقة الجلسات، وهو مؤشر مبكر على نجاح هذه التقنية. ومع الانتشار التدريجي لها، يُتوقع أن تُحدث تغييرًا جوهريًا في طريقة تعامل المهاجمين مع بيانات الجلسات، وأن تقلل من جدوى البرمجيات الخبيثة المتخصصة في سرقة ملفات تعريف الارتباط مثل Atomic و Lumma و Vidar Stealer. هذه الخطوة تُعد جزءًا من استراتيجية أوسع لتأمين الحسابات الرقمية، حيث لم تعد كلمات المرور وحدها كافية لحماية المستخدمين في ظل تطور أساليب الهجوم.
