Cihaza bağlı oturum kimlik bilgileri nedir ve hesap ele geçirmenin en yeni türünü nasıl durduruyor?

Google'ın Chrome tarayıcısı, araştırmacıların ve güvenlik ekiplerinin hızla büyüyen bir hesap ele geçirme saldırı kategorisine karşı bugüne dek görülen en güçlü korumalardan biri olarak tanımladığı 'cihaza bağlı oturum kimlik bilgileri' adlı yeni bir güvenlik mekanizmasını devreye almaya başladı. Özellik, belirli ve giderek yaygınlaşan bir tekniği hedefliyor: kullanıcının parolasını çalmak yerine, onu oturum açık tutan oturum belirteçlerini çalmak.

Bu ayrımın neden önemli olduğunu anlamak için, çoğu modern girişin sahne arkasında gerçekte nasıl çalıştığını bilmek yardımcı olur. Bir parola girip ek bir doğrulama adımını tamamladıktan sonra, tarayıcınız her bağlantıya tıkladığınızda yeniden kimlik doğrulaması yapmanızı istemez — bunun yerine, sitenin zaten başarıyla giriş yaptığınızı kanıtlayan küçük bir veri parçası olan bir oturum belirteci saklar. Bu belirteç genellikle tarayıcıda bir çerez olarak yaşar ve oturum etkin kaldığı sürece sonraki her isteği sessizce doğrular.

Bu kolaylık, büyük bir güvenlik açığına dönüştü. Son birkaç yılda daha fazla hizmet çok faktörlü kimlik doğrulamayı benimseyip çalınan parolaları tek başına saldırganlar için çok daha az kullanışlı hale getirdikçe, siber suçlular giderek odaklarını, enfekte bir bilgisayardan oturum belirteçlerini toplamak için özel olarak inşa edilmiş kötü amaçlı yazılımlar kullanarak doğrudan oturum belirteçlerini çalmaya kaydırdı. Çalınmış bir oturum belirteci, saldırganın giriş ekranını tamamen atlamasını sağlıyor — parola ya da doğrulama kodu gerekmiyor, çünkü site açısından oturum zaten kimlik doğrulamasından geçmiş sayılıyor.

Cihaza bağlı oturum kimlik bilgileri, tam olarak bu boşluğu kapatmak için tasarlandı. Yeni mekanizma, bir oturum belirtecini kopyalandığı her yerden çalışan taşınabilir bir sır olarak ele almak yerine, oturumu kriptografik olarak kullanıcının giriş yaptığı belirli cihazda üretilen ve saklanan bir özel anahtara bağlıyor — genellikle cihazın içine gömülü, anahtarı çıkarmayı son derece zorlaştıracak şekilde tasarlanmış güvenli donanımın içinde. Tarayıcı, oturumun hâlâ geçerli olduğunu her kanıtlaması gerektiğinde, isteği imzalamak için bu cihaza bağlı anahtarı kullanıyor.

Bu tek tasarım kararı, saldırının ekonomisini değiştiriyor. Bir kötü amaçlı yazılım parçası bir kurbanın makinesinden bir oturum çerezini ya da belirtecini çalmayı başarırsa ve bir saldırgan bunu başka bir yerdeki kendi bilgisayarından kullanmaya çalışırsa, sitenin sunucusu isteğin orijinal cihazın anahtarından geçerli bir imza taşıyıp taşımadığını kontrol edebilir — ve taşımıyorsa reddedebilir. Çalınan belirteç, tek başına, üretildiği cihazın dışında esasen değersiz hale geliyor ve hırsızlığın tüm öncülünü baltalıyor.

Chrome'un uygulaması, mekanizmayı doğrudan tarayıcının içine inşa ediyor ve site operatörlerine, temel kriptografik altyapıyı kendileri inşa etmek zorunda kalmadan korumayı benimsemek için nispeten basit bir yol sunuyor. Özelliği destekleyen siteler, Chrome kullanıcılarına cihaza bağlı oturumlar vermeye başlayabilir ve korumayı, kendi tarafında bunu uygulamayı seçen her hizmete yayabilir.

Bunun ele almayı amaçladığı sorunun ölçeği hayli büyük. Enfekte bir makineden kaydedilmiş parolaları, tarayıcı çerezlerini ve oturum belirteçlerini toplamak için özel olarak inşa edilmiş kötü amaçlı yazılım olan bilgi hırsızları, çalınan oturum verilerinin suç pazar yerlerinde toplu olarak alınıp satıldığı siber suç ekonomisinin önemli bir parçası haline geldi. Kimlik avı kitleri de giderek, sadece kimlik bilgilerini değil, gerçek zamanlı canlı oturumları yakalamaya doğru kaydı — çünkü yakalanan bir oturum çok faktörlü kimlik doğrulamayı tamamen atlayabiliyor.

Güvenlik araştırmacıları, cihaza bağlı oturum kimlik bilgilerini, önceki nesil savunmaların tam olarak ele almadığı bir boşluğu kapatan bir gelişme olarak çerçeveliyor. Tek başına parolalar kimlik avına ve tekrar kullanıma karşı savunmasızdı; çok faktörlü kimlik doğrulama çıtayı anlamlı ölçüde yükseltti ama zaten kimlik doğrulamasından geçmiş bir oturumu çalabilen bir saldırganı durdurmadı; bu oturumu belirli bir donanım parçasına bağlamak, çalınan oturumları başlangıçta değerli kılan taşınabilirliği ortadan kaldırıyor.

Korumanın anlaşılmaya değer sınırları var. Çalınan bir oturum belirtecinin farklı bir cihazda tekrar oynatılmasını durdurmak için tasarlandı — meşru cihazın kendisinde etkin kalan ve doğrudan üzerinde çalışan kötü amaçlı yazılıma karşı koruma sağlamıyor; bu düzeyde erişime sahip bir saldırgan, prensipte, oturumu başka bir yere taşımaya çalışmak yerine yerel olarak kimlik doğrulamasından geçmiş oturum üzerinden hâlâ hareket edebilir. Bu, sızdırma ve uzaktan yeniden kullanıma karşı bir savunma, her tür cihaz ele geçirmesine karşı bir çare değil.

Bu uyarıya rağmen güvenlik araştırmacıları, değişimi bir saldırganın cephaneliğindeki en etkili araçlardan birine dönüşmüş bir tekniği doğrudan hedefleyen, tarayıcı güvenliğinde anlamlı bir ilerleme olarak tanımlıyor. Chrome'un uygulaması olgunlaştıkça ve daha fazla site altta yatan standardı benimsedikçe, yaklaşımın diğer büyük tarayıcılara da yayılması bekleniyor — bu, basitçe kopyalanıp taşınabilecek sırlar yerine kimlik doğrulamayı donanım destekli kanıtlara demirlemeye doğru daha geniş bir sektör eğiliminin parçası.