DBSC reforça defesa contra malware que rouba cookies de login

A Google anunciou, neste mês, o início de um segundo teste com o recurso Device Bound Session Credentials (DBSC), tecnologia voltada para impedir que malwares roubem cookies de sessão em sistemas infectados. A primeira fase de testes foi realizada no início do ano com usuários do navegador Chrome. O novo teste estará disponível para computadores Windows com o Trusted Platform Module (TPM) até o fim de março de 2026.

Como funciona o DBSC para proteger sessões

O principal objetivo do DBSC é associar a sessão autenticada do usuário ao próprio dispositivo. Normalmente, malwares roubam cookies que comprovam o login do usuário em um site, possibilitando aos invasores acessar rapidamente a conta sem precisar de senha ou burlar autenticação de dois fatores.

Com o DBSC, a sessão é vinculada ao dispositivo por meio de um par de chaves públicas/privadas gerado pelo navegador. A chave privada é armazenada pelo sistema operacional de modo que seja difícil de extrair, utilizando recursos como o TPM para garantir essa proteção.

Benefícios de privacidade e limitação do rastreamento

Cada sessão cria um par de chave único e o DBSC impede que sites correlacionem chaves de diferentes sessões, reduzindo rastreamento persistente dos usuários. Segundo o Google, não é transmitida informação significativa sobre o dispositivo — apenas a chave pública por sessão, que serve para validar posteriormente se o usuário tem a correspondente chave privada. É possível remover as chaves criadas a qualquer momento e o DBSC está desativado para usuários que não aceitam cookies.

Próximos passos e participação no teste

Após um teste inicial em maio, o Google decidiu ampliar a iniciativa nos próximos meses, com foco na confiabilidade e clareza do funcionamento da tecnologia DBSC. Usuários e desenvolvedores interessados podem se registrar para participar do teste pelo site oficial do Google.