Chrome เปิดฟีเจอร์ Device‑Bound Session Credentials ป้องกันการแฮกบัญชีผู้ใช้

Google Chrome เพิ่มฟีเจอร์ใหม่ที่เรียกว่า **device‑bound session credentials (DBSCs) เพื่อยับ ยั้งการโจมตีแบบเข้าครอบบัญชีผู้ใช้ (account takeover) ที่เพิ่มขึ้นอย่างต่อเนื่องในช่วงหลายปีที่ผ่านมา การเปลี่ยนแปลงนี้สำคัญเพราะมันทำงานร่วมกับระบบการตรวจสอบตัวตนสองขั้นตอน (2FA) และ Passkey ที่ผู้ใช้ส่วนใหญ่เริ่มนำมาใช้อยู่แล้ว

Overview

ฟีเจอร์ DBSCs ถูกออกแบบให้เก็บ กุญแจการเข้ารหัสที่ไม่ซ้ำกัน ภายใน “ป้อมปราการ” แบบ silicon‑resident ของอุปกรณ์ ซึ่งเป็นฮาร์ดแวร์ที่มีความปลอดภัยสูงโดยเฉพาะ บนเครื่อง Windows ป้อมนี้เรียกว่า TPM (Trusted Platform Module) ส่วนบน macOS และ iOS จะใช้ Secure Enclave** ระบบเดียวกันนี้ได้ถูกนำมาผนวกกับ Chrome เวอร์ชันล่าสุดสำหรับทั้งสองระบบปฏิบัติการ

การทำงานของ DBSCs มีจุดประสงค์เพื่อเป็น “ยาแก้” สำหรับการขโมย session cookie ซึ่งเป็นสตริงอักขระที่เว็บไซต์เก็บไว้ในเบราว์เซอร์หลังจากผู้ใช้ล็อกอินสำเร็จ คุกกี้เหล่านี้ช่วยให้ผู้ใช้ไม่ต้องกรอกข้อมูลรับรองใหม่ทุกครั้งเมื่อเปิดหน้าเว็บใหม่ แต่หากถูกโจมตีโดยวิธีการดึงคุกกี้ออกมาได้ การเข้าถึงบัญชีอาจเกิดขึ้นอย่างง่ายดาย

Chrome จึงใช้ DBSCs เพื่อผูก session cookie เข้ากับอุปกรณ์เฉพาะ ทำให้แม้คุกกี้จะถูกขโมยไปแล้ว ผู้โจมตีก็ไม่สามารถนำมาใช้บนเครื่องอื่นได้ การป้องกันเช่นนี้เพิ่มความแข็งแกร่งของระบบการตรวจสอบตัวตนโดยตรงจากฮาร์ดแวร์

How DBSC Works

เมื่อผู้ใช้เข้าสู่ระบบบนเว็บไซต์ที่รองรับคุกกี้เซสชัน Chrome จะสร้าง กุญแจการเข้ารหัสเฉพาะอุปกรณ์ และบันทึกลงใน TPM หรือ Secure Enclave ตามลำดับ ระบบจะผูกคุกกี้กับกุญแจนั้นโดยใช้เทคนิคการเข้ารหัสแบบสมมาตรหรืออสมมาตรที่กำหนดไว้ในสเปกของ Chrome

กระบวนการนี้ทำให้คุกกี้ที่ถูกจัดเก็บบนเบราว์เซอร์กลายเป็น “session credential” ที่ต้องตรวจสอบกับฮาร์ดแวร์ทุกครั้งที่มีการส่งคำขอไปยังเซิร์ฟเวอร์ หากไม่มีการยืนยันจากป้อมปราการ การร้องขอจะถูกปฏิเสธโดยอัตโนมัติ แม้ว่าแฮกเกอร์จะได้คุกกี้มาจากการโจมตีแบบ “Man‑in‑the‑middle” หรือการดักจับข้อมูลบนเครือข่าย

นอกจากนี้ Chrome ยังกำหนดให้ DBSCs มีอายุสั้นและต้องมีการต่ออายุเป็นระยะ ๆ ผ่านกระบวนการที่เรียกว่า “key rotation” เพื่อป้องกันไม่ให้กุญแจเดิมถูกใช้ซ้ำในกรณีที่ผู้โจมตีสามารถเจาะระบบฮาร์ดแวร์ได้แม้เพียงครั้งเดียว

Technical Details & Platform Support

Chrome ใช้กลไกต่อไปนี้เพื่อจัดการกับ DBSCs:

• TPM บน Windows ทำหน้าที่เป็น “root of trust” ที่เก็บกุญแจแบบไม่เปิดเผยต่อซอฟต์แวร์ทั่วไป
• Secure Enclave บน macOS/iOS ให้บริการคล้ายกันโดยใช้โหมด Secure Boot และการเข้ารหัสระดับฮาร์ดแวร์
• แพลตฟอร์มอื่น ๆ เช่น Linux หรือ Chrome OS มี “Trusted Execution Environment (TEE)” ที่ทำหน้าที่เทียบเคียงกับ TPM/Enclave

เวอร์ชันล่าสุดของ Chrome สำหรับ Windows 10/11 และ macOS Ventura ขึ้นไป ได้รับการอัปเดตให้สร้างและจัดเก็บกุญแจเหล่านี้โดยอัตโนมัติ ผู้ใช้ไม่จำเป็นต้องตั้งค่าใด ๆ เพิ่มเติม นอกจากนี้ Google ยังเผยว่าแผนงานต่อไปคือขยายการรองรับ DBSCs ไปยัง Android และ Chrome OS อย่างเต็มรูปแบบในไตรมาสถัดไป

Security Implications

จากมุมมองของความปลอดภัย การเพิ่ม DBSCs ถือเป็นขั้นตอนสำคัญในการปิดช่องโหว่ที่เกิดจากการพึ่งพา session cookie เพียงอย่างเดียว คุกกี้เหล่านี้เคยเป็นเป้าหมายหลักของการโจมตีแบบ “Session Hijacking” ซึ่งผู้โจมตีสามารถเข้าถึงข้อมูลส่วนตัวได้โดยไม่ต้องผ่านขั้นตอน 2FA

ด้วยการผูกคุกกี้กับฮาร์ดแวร์ที่มีความปลอดภัยสูง การโจมตีแบบ “credential stuffing” หรือการใช้ฐานข้อมูลรหัสผ่านที่ถูกขโมยจะสูญเสียประสิทธิภาพอย่างมาก เนื่องจากแม้ผู้โจมตีจะได้รหัสผ่านหรือคุกกี้มาแล้ว พวกเขายังต้องมีอุปกรณ์พร้อม TPM/Enclave ที่ตรงกันเพื่อทำให้เซสชันสำเร็จ

อย่างไรก็ตาม ระบบนี้ไม่ได้แก้ไขปัญหาในระดับแอปพลิเคชันทั้งหมด หากเว็บไซต์ยังคงเก็บข้อมูลที่สำคัญในรูปแบบอื่น ๆ เช่น local storage หรือ JWT token ที่ไม่มีการผูกกับฮาร์ดแวร์ ความเสี่ยงจากการขโมยข้อมูลส่วนบุคคลก็ยังคงอยู่ ดังนั้นผู้พัฒนาเว็บจึงต้องประสานงานกับ Chrome เพื่อใช้ API ใหม่ของ DBSCs อย่างเต็มที่

Industry Impact

Google เป็นบริษัทแรกที่นำแนวคิด “device‑bound session credentials” ไปใช้อย่างเป็นระบบในเบราว์เซอร์ระดับโลก การตัดสินใจนี้อาจกระตุ้นให้ผู้ผลิตเบราว์เซอร์รายอื่น ๆ เช่น Microsoft Edge หรือ Mozilla Firefox พิจารณานำเทคโนโลยีคล้ายกันมาใช้เพื่อรักษาความได้เปรียบด้านความปลอดภัย

ในแง่ของธุรกิจ ผู้ประกอบการที่พึ่งพาโมเดล “subscription” หรือ “SaaS” ที่ต้องการให้ผู้ใช้ล็อกอินบ่อยครั้งอาจเห็นอัตราการละทิ้งบัญชี (churn) ลดลง เนื่องจากผู้ใช้รู้สึกมั่นใจว่าบัญชีของตนปลอดภัยมากขึ้น นอกจากนี้ บริษัทด้านความปลอดภัยไซเบอร์อาจต้องปรับกลยุทธ์การตรวจจับการโจมตีให้ครอบคลุมถึง “device‑bound” ตัวชี้วัดใหม่

สุดท้าย การเปลี่ยนแปลงนี้สื่อให้เห็นว่าการผสานฮาร์ดแวร์ระดับระบบเข้ากับซอฟต์แวร์ผู้บริโภคกำลังเป็นแนวโน้มสำคัญของอุตสาหกรรม ความร่วมมือระหว่างผู้ผลิตชิปและบริษัทซอฟต์แวร์จะกลายเป็นปัจจัยหลักในการต่อสู้กับการโจมตีแบบบัญชีถูกยึด (account takeover) ในอนาคต

Summary

Chrome ได้เปิดตัว **device‑bound session credentials (DBSCs) ซึ่งผูกคุกกี้เซสชันเข้ากับฮาร์ดแวร์อย่าง TPM หรือ Secure Enclave เพื่อป้องกันการขโมยคุกกี้และลดความเสี่ยงจากการโจมตีแบบบัญชีถูกยึด การอัปเดตนี้มีศักยภาพสูงที่จะกำหนดมาตรฐานใหม่ด้านความปลอดภัยบนเว็บและอาจส่งผลให้เบราว์เซอร์อื่น ๆ ปรับตัวตามในเร็ว ๆ นี้.