Google將裝置綁定連線階段憑證防護措施提供給所有Chrome用戶

連線階段竊取（session theft）是用戶不慎下載惡意程式被駭客攻擊的手法。惡意程式會從瀏覽器擷取連線階段cookies、或等用戶登入新帳號時攔截token，送到攻擊者控制的伺服器。攻擊者藉由cookies效期拉長，有的利用它非授權存取用戶帳號，也不需要密碼，有人則將竊來的憑證在駭客論壇或網路黑市出售，擴大攻擊來源。LummaC2等竊資程式就是以高明的竊取連線階段憑證手法聞名。

Google將DBSC防護整合於Chrome的原理是利用Windows TPM（Trusted Platform Module）或macOS的Secure Enclave的硬體安全模組來產生無法從電腦匯出一對獨特公/私鑰，公鑰儲存在服務伺服器（或網站），只認用戶機器，而私鑰以加密儲存在用戶硬體。Chrome在登入服務伺服器時，必須以私鑰和伺服器完成驗證，確認用戶裝置是當初登入的那臺裝置。

現在DBSC已全面部署到所有Windows版Chrome 146及即將推出的新版macOS版Chrome瀏覽器。Google形容這是該公司對抗連線階段竊取攻擊的重要一大步。

DBSC需要生態體系夥伴的支援，且Google從一開始就計畫和微軟聯手設計DBSC，並推動標準化程序。兩家公司執行的測試計畫，現在已有多家Web平臺業者包括Okta參與。小組正持續改善DBSC對聯邦式身分（如SSO）的支援、確保DBSC連線階段和現有金鑰憑證如mTLS憑證或硬體金鑰整合、及強化多元硬體平臺的支援。