Chrome DBSC: как защита сессии ограничивает повторное использование cookie
Содержание статьи

DBSC (Device Bound Session Credentials) может затруднить повторное использование украденного cookie для сессии, защищенной этим механизмом. Это работает только на сайтах, которые сами внедрили DBSC; Chrome не включает такую защиту автоматически для всех сайтов.

Device Bound Session Credentials (DBSC) связывает защищенную веб-сессию с устройством с помощью криптографического ключа. Если сайт внедрил DBSC, одной копии cookie недостаточно для продления такой сессии на другом устройстве. Это не делает украденные cookie бесполезными на всех сайтах и не обеспечивает полную защиту аккаунта.

Как работает DBSC

Браузер создает криптографическую пару ключей. Закрытый ключ должен оставаться на устройстве и, если оборудование позволяет, использовать защиту TPM или системного хранилища. Сервер периодически отправляет проверочный запрос и убеждается, что отвечает тот же компьютер.

Украденный cookie все еще может раскрыть информацию о сессии, но без локального ключа его сложнее использовать на другом устройстве. Это не делает зараженный компьютер полностью безопасным. Вредоносная программа, работающая на нем, может управлять браузером, перехватывать ввод или выполнять действия в уже открытой сессии.

Кому доступна защита

9 апреля 2026 года Google объявила о публичной доступности DBSC для пользователей Windows в Chrome 146; поддержку macOS тогда планировали добавить в следующем выпуске Chrome. Для работы DBSC конкретный сайт должен внедрить серверные механизмы регистрации и обновления сессии. Это не означает автоматической защиты всех сайтов или всех аккаунтов Google Workspace.

В корпоративной среде администратору нужно свериться с актуальной документацией Google Workspace и политиками Chrome. Обычному пользователю важнее поддерживать браузер и систему в актуальном состоянии. Не стоит принудительно включать экспериментальные флаги по случайной инструкции.

Чего DBSC не заменяет

Механизм защищает уже созданную сессию. Если преступник узнает пароль и войдет на своем устройстве, он создаст новую сессию. Поэтому по-прежнему нужны:

  1. уникальный пароль в менеджере паролей;
  2. passkey или двухфакторная аутентификация;
  3. актуальные Chrome и операционная система;
  4. контроль активных сессий и устройств;
  5. осторожность с вложениями, расширениями и страницами входа.

Практическая настройка описана в инструкции менеджер паролей и 2FA за 20 минут.

Что делать при подозрительном входе

Не меняйте пароль на компьютере, который может быть заражен. Используйте доверенное обновленное устройство. Завершите неизвестные сессии, смените пароль, включите 2FA или passkey и сохраните новые резервные коды.

Проверьте правила переадресации почты, подключенные приложения и незнакомые расширения. Если подозрение появилось после установки программы или открытия вложения, одной смены пароля недостаточно. Нужна диагностика системы и проверка аккаунтов с чистого устройства.

Не устанавливайте сразу несколько случайных антивирусных утилит: они могут конфликтовать и усложнить анализ.

Главный вывод

DBSC закрывает конкретный путь атаки — перенос украденной сессии на другое оборудование. Это полезный дополнительный слой, который лучше всего работает вместе с обновлениями, passkey или 2FA и быстрой реакцией на уведомления о входе.

Что меняется для обычного пользователя

Защита сессии не заменяет пароль, двухфакторную аутентификацию и обновление браузера. Она снижает ценность украденного cookie или токена, с которым злоумышленник пытается войти без повторного пароля. Если пользователь сам передал код, подтвердил вход или установил вредное расширение, один механизм не перекроет все сценарии.

Обновите Chrome, проверьте список расширений и удалите ненужные. Расширения получают широкий доступ к страницам, поэтому ставьте их из официального магазина и проверяйте разработчика. Не используйте один пароль для почты, админки и социальных сетей.

Как реагировать на подозрительный вход

Завершите все активные сеансы в настройках аккаунта, смените пароль с чистого устройства и проверьте резервную почту и номер. Просмотрите правила пересылки, новые ключи доступа, неизвестные OAuth-приложения и журнал входов. Если браузер просит заново войти на всех сайтах, не вводите пароль в всплывающем окне — откройте сервис вручную.

Ограничения и практическая защита

Используйте блокировку экрана, менеджер паролей и отдельный профиль браузера для работы. Не синхронизируйте конфиденциальные пароли на чужом компьютере. После подозрительного расширения при перенаправлениях, рекламе или неизвестных программах удалите его, обновите систему и при необходимости закажите диагностику.

Что DBSC не делает за пользователя

Защита связывает активную сессию с конкретным браузером и устройством, поэтому украденный cookie сложнее использовать на другом компьютере. Но она не заменяет сильный пароль, 2FA, passkey, блокировку экрана и контроль расширений. Если злоумышленник уже вошел в почту или пользователь подтвердил опасный запрос, DBSC не отменяет последствия автоматически.

Проверьте активные сеансы Google, список устройств, переадресацию почты и разрешения сторонних приложений. После подозрительного события смените пароль с чистого устройства, отзовите неизвестные токены и обновите резервные коды. При перенаправлениях и неизвестных программах закажите диагностику.

Почему важно проверять именно сессию

Смена пароля не всегда завершает все активные сеансы. Если злоумышленник получил cookie, он может оставаться авторизованным, пока сессия не отозвана. После подозрения откройте страницу безопасности Google, завершите неизвестные сеансы, смените пароль и проверьте резервную почту и телефон.

DBSC не защищает от фишинга, когда пользователь сам вводит пароль и код. Проверяйте домен, не входите через рекламные баннеры и ограничивайте доступ расширений. При неизвестных дополнениях и перенаправлениях закажите диагностику.

Что делать при подозрении на кражу сессии

С чистого устройства смените пароль почты, завершите все активные сеансы и проверьте неизвестные способы восстановления. Отзовите доступ сторонних приложений, обновите 2FA и резервные коды. Если тот же пароль использовался где-то еще, смените его во всех сервисах.

На подозрительном ноутбуке не входите в банкинг и не подтверждайте новые разрешения. Проверьте расширения, прокси и автозапуск, но сначала сохраните признаки инцидента. При неизвестных программах нужна диагностика.

Для компании DBSC полезна вместе с политиками браузера, ограничением расширений и контролем устройств. Для дома важнее обновления, 2FA, менеджер паролей, блокировка экрана и проверка адреса входа. Ни одна технология не спасает от ввода секретов на поддельном сайте.

Храните резервные коды 2FA отдельно от пароля и не отправляйте их в чаты поддержки. Включите уведомления о входах и периодически проверяйте разрешения. Рабочий взлом стоит сообщить команде безопасности даже после смены пароля.

Что сделать после подозрительного входа

Сначала смените пароль на чистом устройстве и завершите все активные сеансы. Проверьте резервную почту, номер телефона, правила пересылки писем и приложения с доступом к аккаунту. Не подтверждайте неизвестные уведомления входа и не передавайте коды восстановления.

Очистите подозрительные расширения, но не рассчитывайте только на переустановку браузера. Проверьте систему на вредоносные программы и обновите браузер. Если поисковик сам меняется, появляются новые вкладки или аккаунт повторно взламывают, нужна диагностика.

Используйте уникальный пароль и двухфакторную защиту. Сохраняйте резервные коды офлайн, но не в открытом файле на том же компьютере. После очистки проверьте вход с нового устройства и список активных сессий ещё раз.

Проверьте также устройства, где аккаунт был сохранён, и удалите неизвестные ключи доступа. После смены пароля не возвращайте старые сеансы автоматически.

Проверьте уведомления о входах через официальный сайт, а не по ссылке из письма.