Chrome protege cookies roubados com chaves no hardware
O Google Chrome começou a adotar credenciais de sessão vinculadas ao dispositivo, uma camada que busca tornar cookies roubados no Chrome praticamente inúteis fora do computador original. A tecnologia associa a sessão autenticada a uma chave criptográfica privada guardada em hardware protegido — TPM no Windows e Secure Enclave nos aparelhos da Apple. Assim, copiar apenas o cookie deixa de bastar para invadir uma conta.
Tabela de conteúdos
Resposta rápida
As credenciais vinculadas ao dispositivo exigem que o navegador prove possuir uma chave privada local ao renovar a sessão. Um cookie copiado por criminosos não consegue produzir essa prova criptográfica.
Como a proteção contra cookies roubados no Chrome funciona
Depois do login, serviços online normalmente gravam um cookie de sessão no navegador. Ele evita que a pessoa precise informar senha em cada página. O problema é que malware, extensões maliciosas ou campanhas de phishing podem capturar esse dado. Em certos casos, o invasor importa o cookie em outro navegador e acessa a conta sem senha, passkey ou autenticação de dois fatores.
Com a mudança, o Chrome cria uma chave privada durante a configuração da sessão e a mantém no hardware. O site compatível registra a chave pública correspondente. Ao renovar ou manter o acesso, o servidor envia um desafio criptográfico; o navegador precisa assiná-lo com a chave privada. Quem tiver somente um dos cookies roubados no Chrome não terá como concluir essa etapa.
- O usuário entra normalmente no site compatível.
- O Chrome vincula a sessão a uma chave local.
- O serviço armazena a chave pública da sessão.
- O navegador assina desafios para renovar o acesso.
- O cookie copiado falha sem a chave protegida.
TPM no Windows e Secure Enclave no macOS
No Windows, a implementação usa o Trusted Platform Module (TPM), componente destinado a resguardar segredos criptográficos. Em dispositivos Apple, a função é exercida pelo Secure Enclave. A ideia é que a chave privada não fique exposta ao sistema operacional nem ao próprio navegador como um arquivo comum, reduzindo a chance de extração por um infostealer.
Um atacante pode até obter o cookie, mas não consegue cumprir o desafio criptográfico sem acesso à chave protegida no dispositivo.
Scott Helme, fundador do Report URI, em declaração repercutida pela Ars Technica
O que muda — e o que ainda não muda
A novidade combate principalmente o sequestro de sessão, não todas as formas de invasão. Se o criminoso controlar o dispositivo enquanto ele estiver desbloqueado, poderá agir dentro da sessão ativa. Por isso, atualização do sistema, antivírus, cautela com downloads e autenticação multifator continuam essenciais. A proteção também depende da adesão dos sites, que precisam implementar o registro de chaves e o fluxo de renovação no servidor.
| Cenário | Sem vínculo ao dispositivo | Com credencial vinculada |
|---|---|---|
| Cookie copiado | Pode permitir acesso | Exige chave privada local |
| Senha vazada | 2FA ou passkey ajudam | Protege também a sessão posterior |
| Site sem suporte | Modelo tradicional | Recurso não é aplicado |
Disponibilidade e como verificar o recurso
Segundo a reportagem da TechSpot, o lançamento é limitado: há suporte no Chrome 147 para Windows e no Chrome 150 para macOS, inicialmente para parte dos usuários. Além da versão, é necessário que o site ofereça suporte. Em um serviço habilitado, a aba Application das Ferramentas do Desenvolvedor pode exibir a indicação “device-bound sessions”.
O recurso não elimina os cookies de sessão: ele deixa de tratá-los como prova única de que o acesso é legítimo.
Por que a medida é relevante
Senhas fortes, passkeys e 2FA reduziram o valor de credenciais tradicionais roubadas. Ainda assim, os cookies roubados no Chrome permanecem atraentes porque representam uma sessão já autenticada. Vinculá-la ao hardware fecha justamente essa lacuna: o invasor passa a precisar do dado capturado e da chave que nunca deveria sair do equipamento da vítima. Ainda não está claro quando outros navegadores baseados em Chromium aderirão ao padrão.
Perguntas frequentes sobre cookies roubados no Chrome
O que são credenciais de sessão vinculadas ao dispositivo?
São credenciais que associam o login a uma chave privada guardada no hardware. Para renovar a sessão, o Chrome precisa provar que possui essa chave; o cookie sozinho não basta.
Cookies roubados no Chrome ainda podem ser usados?
Em sites compatíveis, a cópia isolada tende a falhar. O invasor não terá a chave privada do TPM ou do Secure Enclave para assinar o desafio criptográfico exigido.
Como saber se o site usa device-bound sessions?
Abra as Ferramentas do Desenvolvedor do Chrome e consulte a aba Application após entrar no site. A indicação depende do rollout e da implementação feita pelo serviço.
A novidade substitui senha, passkey ou autenticação de dois fatores?
Não. Ela complementa esses recursos ao proteger a sessão depois do login. Senhas únicas, passkeys, 2FA e atualizações seguem recomendados.
Considerações finais
O vínculo entre sessão, chave criptográfica e hardware representa uma evolução prática contra tomada de conta por cookies roubados no Chrome. A eficácia, porém, dependerá da expansão do recurso e da adesão dos sites. Para o usuário, a melhor defesa continua sendo combinar navegador atualizado, proteção contra malware e métodos de login resistentes a phishing.
Fontes: TechSpot e Ars Technica. Não foram identificados vídeos incorporáveis de YouTube, X/Twitter ou Instagram no material fornecido; por isso, nenhum embed foi inserido.
