Chrome 146 加入 DBSC 阻絕 Cookie 攻擊

🔑 增強重點摘要

• •DBSC 協議設計為開源標準，Google 正積極推動其進入 IETF（網際網路工程任務組）標準化流程，旨在讓其他瀏覽器供應商（如 Firefox、Safari）也能實作此機制。
• •該技術不僅限於 TPM，亦支援作業系統層級的硬體安全模組（如 Apple 的 Secure Enclave），確保在不同生態系統中皆能提供一致的硬體級別保護。
• •DBSC 透過定期輪換會話憑證，即使攻擊者在極短時間內成功攔截憑證，該憑證的有效期限也極短，大幅降低了攻擊者利用竊取憑證進行長期未經授權存取的風險。

🛠️ 技術深入

• •DBSC 運作機制：瀏覽器在本地產生一對非對稱金鑰（公鑰與私鑰），私鑰受硬體安全模組（如 TPM 2.0）保護，無法被匯出。
• •驗證流程：當使用者登入網站時，瀏覽器會將公鑰發送給伺服器進行註冊；後續的 Cookie 請求會包含一個由私鑰簽名的驗證挑戰（Challenge），伺服器驗證簽名以確認請求來自原始裝置。
• •會話輪換：DBSC 支援會話憑證的定期自動更新，透過與伺服器端的 API 互動，確保即使憑證被竊取，其時效性也受到嚴格限制。
• •隱私保護：該機制設計為不追蹤使用者跨網站的行為，僅用於驗證當前會話與特定裝置的綁定關係，避免了傳統指紋識別技術帶來的隱私疑慮。

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線