Chrome Implements DBSC to Prevent Session Cookie Theft

•DBSC 利用 Windows 上的信任平台模組 (TPM) 和 macOS 上的安全隔離區 (Secure Enclave) 等硬體支援安全模組來安全儲存私鑰，確保其不可匯出。
•DBSC 在 HTTP 應用層運作，與現有的負載平衡器和內容傳遞網路 (CDN) 相容，這與其前身 Token Binding 不同，Token Binding 因 TLS 層的複雜性而失敗。
•Google 的 DBSC 發展藍圖包括擴展對 macOS 的支援、為不具備安全硬體的裝置提供軟體金鑰、保護聯合身份 (跨來源單一登入綁定) 以及進階註冊 (mTLS / 硬體金鑰)。
•DBSC 與 Passkeys (FIDO2) 相輔相成，Passkeys 負責保護初始身份驗證過程，而 DBSC 則在身份驗證後保護會話的安全性，共同降低帳戶盜用的風險。
•DBSC 透過使用短效期會話 Cookie 運作，這些 Cookie 會由瀏覽器定期刷新，並透過證明持有裝置綁定的私鑰來實現，這使得被盜的 Cookie 在過期後便會失效。

📊 競品分析▸ Show

瀏覽器	DBSC 狀態 (截至 2026 年 5 月)
Chrome	Windows 版已全面推出 (Chrome 146，2026 年 4 月)；macOS 支援即將推出
Edge	原始試用期於 2025 年 10 月結束，尚未宣布全面推出
Safari	仍在評估中，WebKit 正在討論，尚未宣布實施
Firefox	仍在評估中，尚未承諾實施

DBSC 引入了與使用者裝置相關聯的加密金鑰對，其中私鑰儲存在安全硬體中，例如 Windows 上的 TPM 或 macOS 上的 Secure Enclave，且不可匯出。
會話使用短效期 Cookie。當 Cookie 過期時，Chrome 會暫停請求，並透過簽署伺服器挑戰來證明持有私鑰，然後刷新 Cookie。
伺服器端整合需要修改登入流程以包含 Secure-Session-Registration HTTP 標頭，新增會話註冊端點以將公鑰與使用者會話關聯並提供會話配置，以及新增刷新端點以處理 Cookie 續訂和金鑰持有驗證。
瀏覽器會攔截帶有過期 Cookie 的請求，向伺服器的刷新端點發送刷新請求，伺服器發送一個挑戰 (nonce)，瀏覽器使用綁定的私鑰簽署此挑戰，然後將簽署的證明發送回伺服器。伺服器驗證簽名後，會發出一個新的短效期 Cookie。
DBSC 在 HTTP 應用層運作，這使其與現有的網路基礎設施（如負載平衡器和 CDN）透明地協同工作，避免了 Token Binding 在 TLS 層的複雜性。

DBSC 將顯著減少因 Cookie 竊取導致的帳戶盜用。

透過將會話 Cookie 以加密方式綁定到裝置，被盜的 Cookie 對攻擊者將變得無用，從而消除了一個主要的攻擊途徑。

DBSC 在瀏覽器和平台上的廣泛採用將促成更安全的網路生態系統。

隨著更多瀏覽器和網路應用程式實施 DBSC，會話劫持的整體攻擊面將縮小，迫使攻擊者尋找新的攻擊方法。

DBSC 將在不犧牲安全性的前提下，實現更長、更便捷的使用者會話。

由於會話安全地綁定到裝置，長期 Cookie 相關的風險得以緩解，從而提供更流暢的使用者體驗。

2023-05

Chrome 宣布推出裝置綁定會話憑證 (DBSC) 以打擊會話 Cookie 竊取。

2024-04

Google 首次宣布 DBSC，並開始實驗性測試。

2025-04

DBSC 在 Chrome 135 中作為原始試用 (Origin Trial) 功能開放測試。

2025-10

Edge 瀏覽器的 DBSC 原始試用期結束，但未宣布全面推出。

2026-04

Chrome 146 在 Windows 上全面推出 DBSC，結束了 Windows 平台的原始試用階段。

Chrome 實作 DBSC 以防止工作階段 Cookie 被竊