Qué son las credenciales de sesión vinculadas al dispositivo, y cómo frenan la última forma de robo de cuentas

El navegador Chrome de Google ha comenzado a implementar un nuevo mecanismo de seguridad llamado credenciales de sesión vinculadas al dispositivo, una defensa que investigadores y equipos de seguridad describen como una de las protecciones más sólidas hasta ahora contra una categoría de robo de cuentas en rápido crecimiento. La función combate una técnica específica y cada vez más común: robar los tokens de sesión que mantienen a un usuario conectado, en lugar de robar su contraseña.

Para entender por qué importa esa distinción, ayuda saber cómo funcionan realmente la mayoría de los inicios de sesión modernos entre bastidores. Después de introducir una contraseña y completar cualquier paso de verificación adicional, el navegador no le pide volver a autenticarse cada vez que hace clic en un enlace; en cambio, guarda un token de sesión, un pequeño dato que demuestra al sitio que ya inició sesión correctamente. Ese token suele vivir en el navegador como una cookie, autenticando en silencio cada solicitud posterior mientras la sesión permanezca activa.

Esa comodidad se ha convertido en un problema de seguridad importante. A medida que más servicios adoptaron la autenticación multifactor en los últimos años, haciendo que las contraseñas robadas por sí solas fueran mucho menos útiles para los atacantes, los ciberdelincuentes desplazaron cada vez más su atención hacia el robo directo de tokens de sesión, usando malware construido específicamente para recolectarlos de un equipo infectado. Un token de sesión robado le permite a un atacante saltarse por completo la pantalla de inicio de sesión: no hace falta contraseña ni código de verificación, porque, desde la perspectiva del sitio, la sesión ya estaba autenticada.

Las credenciales de sesión vinculadas al dispositivo están diseñadas para cerrar exactamente esa brecha. En lugar de tratar un token de sesión como un secreto portátil que funciona desde cualquier lugar al que se copie, el nuevo mecanismo vincula criptográficamente la sesión a una clave privada generada y almacenada en el dispositivo específico donde el usuario inició sesión, normalmente dentro de hardware seguro integrado en el dispositivo y diseñado para que extraer la clave sea extremadamente difícil. Cada vez que el navegador necesita demostrar que la sesión sigue siendo válida, usa esa clave vinculada al dispositivo para firmar la solicitud.

Esa única decisión de diseño cambia la economía del ataque. Si un malware logra robar una cookie o un token de sesión del equipo de una víctima y un atacante intenta usarlo desde su propio ordenador en otro lugar, el servidor del sitio puede comprobar si la solicitud lleva una firma válida de la clave del dispositivo original, y rechazarla si no la lleva. El token robado, por sí solo, se vuelve esencialmente inútil fuera del dispositivo en el que se generó, socavando toda la premisa del robo.

La implementación de Chrome integra el mecanismo directamente en el navegador, ofreciendo a los operadores de sitios web un camino relativamente sencillo para adoptar la protección sin tener que construir ellos mismos la infraestructura criptográfica subyacente. Los sitios que admiten la función pueden empezar a emitir sesiones vinculadas al dispositivo a los usuarios de Chrome, extendiendo la protección a cualquier servicio que decida implementarla por su parte.

La magnitud del problema que esto busca abordar es considerable. El malware de robo de información —software malicioso construido específicamente para recolectar contraseñas guardadas, cookies del navegador y tokens de sesión de un equipo infectado— se ha convertido en una parte importante de la economía del cibercrimen, con datos de sesión robados que se compran y venden al por mayor en mercados criminales. Los kits de phishing también se han inclinado cada vez más hacia capturar sesiones en vivo en tiempo real en lugar de solo credenciales, precisamente porque una sesión capturada puede saltarse por completo la autenticación multifactor.

Los investigadores de seguridad presentan las credenciales de sesión vinculadas al dispositivo como el cierre de una brecha que las generaciones anteriores de defensas no abordaban del todo. Las contraseñas por sí solas eran vulnerables al phishing y a la reutilización; la autenticación multifactor elevó el listón de forma significativa, pero no detenía a un atacante capaz de robar una sesión ya autenticada; vincular esa sesión a una pieza específica de hardware elimina la portabilidad que hacía valiosas a las sesiones robadas en primer lugar.

La protección tiene límites que vale la pena entender. Está diseñada para impedir que un token de sesión robado se reproduzca en otro dispositivo; no protege contra un malware que permanece activo y opera directamente en el propio dispositivo legítimo, donde un atacante con ese nivel de acceso podría, en principio, seguir actuando a través de la sesión autenticada de forma local en lugar de intentar trasladarla a otro sitio. Es una defensa contra la exfiltración y la reutilización remota, no una cura para toda forma de compromiso del dispositivo.

Aun con esa salvedad, los investigadores de seguridad describen el cambio como un avance significativo en la seguridad de los navegadores, uno que ataca directamente una técnica que se ha convertido en una de las herramientas más eficaces del arsenal de un atacante. A medida que la implementación de Chrome madura y más sitios web adoptan el estándar subyacente, se espera que el enfoque se extienda a otros navegadores importantes, como parte de una tendencia más amplia de la industria hacia anclar la autenticación en pruebas respaldadas por hardware en lugar de secretos que simplemente se pueden copiar y llevar consigo.