Google a commencé le déploiement à grande échelle d’une nouvelle fonctionnalité de sécurité pour Chrome qui lie les sessions de connexion au matériel de l’appareil, un changement important pour toute personne détenant des portefeuilles crypto.
Key Points:
- Google released Device Bound Session Credentials, which lock browser session cookies to a computer's security chip.
- The protection blocks a common attack that lets thieves bypass two-factor (2FA) logins by stealing cookies.
- Crypto users face added risk, since infostealer malware routinely targets wallets and exchange sessions.
Comment Chrome protège désormais les cookies de connexion
Des rapports publiés cette semaine ont détaillé le large déploiement des Device Bound Session Credentials, ou DBSC, après des mois de tests sur les navigateurs Chromium.
L’outil est désormais disponible pour la plupart des utilisateurs, des comptes Workspace et Enterprise aux comptes personnels. Il lie chaque connexion à une clé cryptographique qui ne quitte jamais l’appareil.
Un cookie de session fonctionne comme un bracelet dans un lieu payant, permettant à un site de se souvenir d’une connexion sans demander un mot de passe ou un code à deux facteurs à chaque visite.
Les voleurs convoitent ces fichiers, car un cookie volé peut contourner entièrement cette seconde couche, et ces jetons se revendent souvent sur les marchés du dark web. DBSC stocke la clé dans un module TPM (Trusted Platform Module) sous Windows ou dans la Secure Enclave sur Mac, puis oblige le navigateur à prouver sa possession avant tout rafraîchissement de cookie.
Le résultat est un cookie qui devient inutile sur une autre machine.
À lire aussi : Kalshi Wins CFTC Approval For First U.S. Bitcoin Perpetual Futures
Pourquoi les traders crypto sont concernés
Pour les utilisateurs de crypto, une session détournée peut signifier des fonds vidés plutôt qu’une boîte mail piratée. Les malwares voleurs d’informations aspirent désormais en une seule opération cookies de navigateur, mots de passe enregistrés et fichiers de portefeuille, avant de les envoyer vers un serveur distant.
Une analyse a montré que le vol d’identifiants entrait en jeu dans environ un tiers des intrusions suivies l’an dernier, signe de la banalisation de cette tactique.
Le phénomène a également pris une dimension industrielle, des chercheurs ayant signalé un voleur d’infos par abonnement appelé Storm, loué moins de 1 000 $ par mois et visant les portefeuilles via des extensions de navigateur et des applications de bureau.
D’autres souches surveillent les sessions liées à Binance, Coinbase, MetaMask et Trust Wallet, puis dérobent le cookie pour accéder au compte sans mot de passe.
Le long chemin de DBSC jusqu’aux utilisateurs
Google a d’abord présenté DBSC en 2024, avant de le faire passer par une bêta publique, puis en diffusion générale sur Chrome 146 et versions ultérieures pour Windows, avec la version 148 et suivantes couvrant Mac.
L’entreprise l’a activé par défaut pour les comptes Workspace, où les administrateurs ne peuvent pas le désactiver. Pour les traders qui laissent des onglets d’échange et des extensions de portefeuille ouverts toute la journée, cette mise à jour ferme discrètement l’une des voies les plus simples vers leur argent.
À lire ensuite : Dogecoin Reserves Edge Up To 28B As Whale Support Stays Weak