谷歌浏览器计划增加Cookies本地设备验证 避免恶意软件窃取后直接利用
内容提要
谷歌浏览器计划增加设备绑定会话凭证(DBSC)功能，将生成的Cookies与本地设备绑定，防止恶意软件窃取并利用。DBSC需要API支持，每个会话由唯一密钥支持，不允许不同网站关联同一设备不同会话的密钥。谷歌希望DBSC成为开放网络标准，已有Microsoft Edge团队、Okta等对此感兴趣。
延伸解读
DBSC 如何提升账户安全
DBSC 通过将身份验证会话与设备本地私钥绑定，使得即使 Cookies 被恶意软件窃取，攻击者也无法在其他设备上使用。私钥可存储在 TPM 模块中，难以导出，从而大幅增加攻击难度。这弥补了传统 Cookies 仅依赖传输安全的不足，为账户增加了一层设备级防护。
隐私保护设计
谷歌强调 DBSC 仅向服务器发送每个会话的公钥，不会泄露设备 IP、操作系统、浏览器版本等额外信息。同时，DBSC 不允许不同网站关联同一设备的不同会话密钥，避免跨站追踪。这些设计旨在平衡安全与隐私，但网站仍可能通过其他方式收集设备信息。
生态依赖与推广挑战
DBSC 需要操作系统开发商和网站开发者共同支持，并非 Chrome 单方面能实现。谷歌希望将其打造为开放网络标准，目前 Microsoft Edge 团队、Okta 等已表示兴趣。然而，标准推广和跨平台适配仍需时间，短期内可能无法全面替代现有 Cookies 机制。
Q&A
什么是设备绑定会话凭证(DBSC)功能？
设备绑定会话凭证(DBSC)功能是谷歌浏览器计划增加的一项安全措施，通过将Cookies与本地设备绑定，防止恶意软件窃取并利用这些Cookies。
DBSC如何提高Cookies的安全性？
DBSC通过设备本地的公钥/私钥对将身份验证会话绑定到当前设备，私钥难以导出，从而提高了Cookies的安全性。
DBSC需要哪些支持才能实施？
DBSC需要API支持，并且需要操作系统开发商和网站开发者的共同努力才能实施。
DBSC与现有Cookies功能有什么不同？
DBSC作为现有Cookies功能的替代或增强，提供了更高的安全性，通过绑定会话到设备来防止Cookies被盗用。
谷歌希望DBSC成为什么样的标准？
谷歌希望将DBSC变成开放的网络标准，目前已有Microsoft Edge团队和Okta等对此表示兴趣。
DBSC如何保护用户的隐私？
DBSC只发送每个会话的公钥，不泄露其他设备信息，如IP地址和操作系统等，从而保护用户隐私。
