Công nghệ Device-Bound Session Credentials ( DBSC ) mới của Google hứa hẹn sẽ chấm dứt các cuộc tấn công chiếm đoạt phiên làm việc bằng cách liên kết các phiên của người dùng với phần cứng cụ thể. Mặc dù lợi ích bảo mật rất rõ ràng, cộng đồng công nghệ đang nêu lên những lo ngại nghiêm trọng về quyền riêng tư, quyền kiểm soát của người dùng và khả năng tạo ra các rào cản kỹ thuật số mới.
Đổi mới bảo mật hay cơ chế kiểm soát?
DBSC hoạt động bằng cách tạo ra các cặp khóa mật mã duy nhất cho mỗi phiên, được lưu trữ an toàn trong Trusted Platform Module ( TPM ) của thiết bị. Điều này khiến các session cookie bị đánh cắp trở nên vô dụng trên các thiết bị khác, giải quyết hiệu quả một vấn đề đã làm phiền bảo mật web trong nhiều thập kỷ. Công nghệ này giải quyết sự gia tăng của phần mềm độc hại đánh cắp cookie, ngày càng trở nên phổ biến khi tội phạm chuyển hướng khỏi các cuộc tấn công mật khẩu do việc áp dụng rộng rãi xác thực hai yếu tố.
Tuy nhiên, các cuộc thảo luận trong cộng đồng cho thấy sự hoài nghi sâu sắc về động cơ của Google . Nhiều người dùng coi đây là một phần của chiến lược rộng lớn hơn nhằm kiểm soát quyền truy cập internet và loại bỏ các ứng dụng khách thay thế hoặc tiện ích mở rộng trình duyệt. Mối lo ngại này xuất phát từ những nỗ lực trước đây của Google trong việc triển khai Web Environment Integrity , điều này sẽ cho phép các trang web có quyền xác minh tính xác thực của trình duyệt và hệ điều hành của người dùng.
TPM (Trusted Platform Module): Một chip chuyên dụng cung cấp các chức năng bảo mật dựa trên phần cứng, bao gồm lưu trữ an toàn các khóa mật mã.
Lợi ích bảo mật chính:
- Ngăn chặn các cuộc tấn công chiếm quyền phiên từ phần mềm độc hại đánh cắp cookie
- Làm cho các token phiên bị đánh cắp trở nên vô dụng trên các thiết bị khác
- Giải quyết các lỗ hổng bảo mật vẫn tồn tại bất chấp mã hóa HTTPS
- Cung cấp sự bảo vệ vượt xa các cờ bảo mật cookie truyền thống ( Secure , HttpOnly , SameSite )
- Có thể loại bỏ một tuyến đường bỏ qua chính xung quanh xác thực hai yếu tố
Con dốc trơn trượt dẫn đến việc kiểm soát kỹ thuật số
Các nhà phê bình lo ngại rằng DBSC đại diện cho bước đầu tiên hướng tới một internet hạn chế hơn. Nỗi sợ hãi là Google sẽ dần dần khiến việc sử dụng các dịch vụ của họ trở nên khó khăn hơn nếu không có các thiết bị hỗ trợ TPM , cuối cùng yêu cầu xác thực phần cứng để truy cập các nền tảng lớn. Điều này có thể khóa hiệu quả những người dùng chạy hệ điều hành thay thế, phần cứng cũ hoặc cấu hình tập trung vào quyền riêng tư.
Một mối lo ngại đặc biệt được lên tiếng tập trung vào tác động đến các công cụ và tự động hóa của bên thứ ba. Nhiều dịch vụ hợp pháp dựa vào việc chia sẻ session cookie để mang lại giá trị cho người dùng, chẳng hạn như các công cụ thu thập dữ liệu LinkedIn hoặc công cụ quản lý mạng xã hội. DBSC có thể phá vỡ hoàn toàn các dịch vụ này, buộc người dùng phải sử dụng các ứng dụng chính thức và hạn chế sự lựa chọn của họ.
Cộng đồng cũng chỉ ra hệ thống xác thực từ xa hiện tại của Android làm bằng chứng cho thấy công nghệ này có thể dẫn đến đâu. Người dùng các bản phân phối Android tập trung vào quyền riêng tư như GrapheneOS đã phải đối mặt với các hạn chế khi cố gắng truy cập một số ứng dụng hoặc dịch vụ nhất định, chứng minh cách xác thực phần cứng có thể được sử dụng để loại trừ các cấu hình không phải dòng chính.
Remote Attestation: Một quy trình bảo mật trong đó thiết bị chứng minh danh tính và tính toàn vẹn của mình với máy chủ từ xa, thường được sử dụng để xác minh rằng phần mềm không bị can thiệp.
Mối quan ngại của cộng đồng:
- Tiềm năng tạo ra các rào cản kỹ thuật số và loại trừ các nền tảng thay thế
- Nguy cơ phá vỡ các công cụ bên thứ ba và dịch vụ tự động hóa
- So sánh với các hạn chế của hệ thống xác thực từ xa của Android
- Mối lo ngại về việc mở rộng dần dần để yêu cầu xác thực phần cứng
- Nỗi sợ giảm quyền kiểm soát của người dùng và lựa chọn trình duyệt
Hạn chế kỹ thuật và các giải pháp thay thế
Từ góc độ kỹ thuật, DBSC phải đối mặt với một số thách thức. Công nghệ này chỉ hoạt động trên các thiết bị có chip TPM , có mặt trong khoảng 60% các cài đặt Windows theo dữ liệu của Google . Người dùng không có phần cứng tương thích sẽ không được hưởng lợi từ bảo mật bổ sung, tạo ra một hệ thống hai tầng.
Một số thành viên cộng đồng cho rằng các giải pháp hiện tại có thể giải quyết bảo mật phiên mà không yêu cầu phần cứng chuyên dụng. Xác thực dựa trên khóa SSH , đã được sử dụng bởi các nền tảng như GitHub , cung cấp lợi ích bảo mật tương tự mà không cần tích hợp TPM . Điều này đã dẫn đến sự thất vọng trong số các nhà phát triển, những người coi DBSC là một giải pháp phức tạp không cần thiết cho một vấn đề mà các công nghệ đơn giản hơn có thể giải quyết.
Đặc tả này bao gồm một số biện pháp bảo vệ quyền riêng tư, chẳng hạn như ngăn chặn các trang web truy cập chuỗi chứng chỉ TPM có thể cho phép lấy dấu vân tay thiết bị. Tuy nhiên, các nhà phê bình vẫn hoài nghi rằng những biện pháp bảo vệ này sẽ được duy trì khi công nghệ phát triển.
Yêu cầu kỹ thuật của DBSC:
- Yêu cầu Trusted Platform Module ( TPM ) để lưu trữ khóa bảo mật
- Có sẵn trên khoảng 60% các cài đặt Windows Chrome
- Sử dụng mã hóa khóa công khai với các cặp khóa riêng biệt cho từng phiên
- Hiện đang trong giai đoạn beta cho người dùng Google Workspace trên Windows Chrome
- Được thiết kế để hoạt động cùng với cookie truyền thống, không thay thế chúng
Tác động ngành và ý nghĩa tương lai
Những ý nghĩa rộng lớn hơn của DBSC vượt ra ngoài các mối lo ngại về quyền riêng tư cá nhân. Nếu được áp dụng rộng rãi, công nghệ này có thể thay đổi cơ bản cách chúng ta tương tác với web, có khả năng tạo ra những rào cản mới cho đổi mới và cạnh tranh. Các nhà phát triển nhỏ và nền tảng thay thế có thể thấy mình không thể cạnh tranh với các dịch vụ yêu cầu cơ sở hạ tầng xác thực phần cứng đắt tiền.
Thời điểm triển khai này, trùng với kỳ vọng giảm thực thi chống độc quyền, đã không bị cộng đồng bỏ qua. Nhiều người coi đây là Google đang tận dụng môi trường quy định có thể khoan dung hơn với các thực tiễn chống cạnh tranh.
Bất chấp tranh cãi, một số người dùng thừa nhận những lợi ích bảo mật thực sự mà DBSC có thể mang lại. Chiếm đoạt phiên vẫn là một vấn đề nghiêm trọng, và các giải pháp dựa trên phần cứng thực sự cung cấp bảo vệ mạnh mẽ hơn so với các phương pháp chỉ dựa trên phần mềm. Thách thức nằm ở việc triển khai những cải tiến bảo mật này mà không hy sinh tự do và sự lựa chọn của người dùng.
Khi DBSC chuyển từ tính năng thử nghiệm sang triển khai rộng rãi hơn, cộng đồng công nghệ sẽ theo dõi chặt chẽ để xem liệu việc triển khai của Google có thực hiện đúng những lời hứa về quyền riêng tư hay trở thành một công cụ khác để kiểm soát kỹ thuật số. Kết quả có thể tạo ra những tiền lệ quan trọng về cách cân bằng bảo mật và quyền tự chủ của người dùng trong internet hiện đại.
Tham khảo: Google Debuts Device-Bound Session Credentials Against Session Hijacking