Chrome DBSC: jak ogranicza ponowne użycie skradzionych cookie
Spis treści

DBSC (Device Bound Session Credentials) może utrudnić ponowne użycie skradzionego pliku cookie w sesji chronionej tym mechanizmem. Działa to tylko w serwisach, które samodzielnie wdrożyły DBSC; Chrome nie włącza tej ochrony automatycznie na wszystkich stronach.

Device Bound Session Credentials (DBSC) wiąże chronioną sesję internetową z urządzeniem za pomocą klucza kryptograficznego. Gdy serwis wdrożył DBSC, sama kopia cookie nie wystarcza do odnowienia takiej sesji na innym urządzeniu. Nie oznacza to, że skradzione pliki cookie są bezużyteczne we wszystkich serwisach ani że konto jest całkowicie chronione.

Jak działa DBSC

Przeglądarka tworzy parę kluczy kryptograficznych. Klucz prywatny ma pozostać na urządzeniu i, jeżeli sprzęt na to pozwala, korzystać z ochrony zapewnianej przez moduł TPM lub bezpieczny magazyn kluczy systemu. Serwer może okresowo poprosić przeglądarkę o podpisanie wyzwania i w ten sposób sprawdzić, czy odpowiada to samo urządzenie.

Skradziony plik cookie nadal może ujawnić informacje o sesji, ale bez lokalnego klucza trudniej wykorzystać go na innym komputerze. Nie oznacza to, że urządzenie staje się odporne na wszystkie ataki. Złośliwy program działający na już zainfekowanym komputerze może próbować sterować przeglądarką, przechwytywać wpisywane dane albo wykonywać działania w aktywnej sesji.

Kogo obejmuje ochrona

9 kwietnia 2026 r. Google ogłosiło publiczną dostępność DBSC dla użytkowników Windows w Chrome 146; obsługę macOS zapowiedziano wtedy w kolejnym wydaniu Chrome. Aby DBSC działało, konkretny serwis musi wdrożyć po stronie serwera mechanizmy rejestracji i odnawiania sesji. Nie oznacza to automatycznej ochrony wszystkich stron ani wszystkich kont Google Workspace.

W środowisku firmowym administrator powinien sprawdzić dokumentację Google Workspace i polityki zarządzania Chrome. Użytkownik prywatny powinien przede wszystkim utrzymywać aktualną przeglądarkę i system. Nie warto włączać eksperymentalnych flag na podstawie przypadkowego poradnika, jeśli funkcja nie jest jeszcze dostępna dla danego konta.

Czego DBSC nie zastępuje

Mechanizm chroni przede wszystkim już utworzoną sesję. Jeżeli napastnik pozna hasło i zaloguje się na własnym urządzeniu, może utworzyć nową sesję. Dlatego nadal potrzebne są:

  1. unikalne hasło przechowywane w menedżerze haseł;
  2. passkey lub uwierzytelnianie dwuskładnikowe;
  3. aktualny Chrome, Windows lub macOS;
  4. kontrola aktywnych sesji i urządzeń na koncie;
  5. ostrożność wobec załączników, rozszerzeń i fałszywych stron logowania.

Praktyczną konfigurację opisujemy w poradniku menedżer haseł i 2FA w 20 minut.

Co zrobić po podejrzanym logowaniu

Jeżeli otrzymasz alert o obcej sesji, nie zmieniaj hasła na komputerze, który może być zainfekowany. Użyj zaufanego, zaktualizowanego urządzenia. Najpierw wyloguj nieznane sesje, zmień hasło, włącz 2FA lub passkey i zapisz nowe kody awaryjne. Sprawdź reguły przekazywania poczty, aplikacje połączone z kontem oraz nieznane rozszerzenia przeglądarki.

Jeśli podejrzenie pojawiło się po instalacji programu, rozszerzenia albo otwarciu załącznika, sama zmiana hasła może nie wystarczyć. Wtedy potrzebna jest diagnostyka systemu i kontrola kont wykonana z czystego urządzenia. Nie instaluj kilku przypadkowych programów zabezpieczających jednocześnie, ponieważ mogą utrudnić analizę.

Najważniejszy wniosek

DBSC zamyka konkretną drogę ataku: przeniesienie skradzionej sesji na inny sprzęt. To wartościowa dodatkowa warstwa, ale nie uniwersalne zabezpieczenie. Najlepszy efekt daje razem z aktualizacjami, passkey lub 2FA oraz szybką reakcją na alerty o logowaniu.

Co zmienia się dla zwykłego użytkownika

Ochrona sesji nie zastępuje hasła, uwierzytelniania dwuskładnikowego ani aktualizacji przeglądarki. Zmniejsza jedynie wartość skradzionego cookie lub tokenu, z którym napastnik próbuje wejść bez ponownego hasła. Jeśli użytkownik sam podał kod, zatwierdził logowanie albo zainstalował złośliwe rozszerzenie, jeden mechanizm nie zablokuje każdego scenariusza.

Zaktualizuj Chrome, przejrzyj rozszerzenia i usuń nieużywane. Dodatki mają szeroki dostęp do stron, dlatego instaluj je z oficjalnego sklepu i sprawdzaj wydawcę. Nie używaj tego samego hasła do poczty, panelu administracyjnego i serwisów społecznościowych.

Jak reagować na podejrzane logowanie

Zakończ wszystkie aktywne sesje w ustawieniach konta, zmień hasło z czystego urządzenia i sprawdź zapasowy e-mail oraz numer telefonu. Przejrzyj reguły przekazywania, nowe klucze dostępu, nieznane aplikacje OAuth i historię logowań. Gdy przeglądarka prosi o ponowne logowanie wszędzie, nie wpisuj hasła w wyskakującym oknie — otwórz usługę ręcznie.

Ograniczenia i praktyczna ochrona

Używaj blokady ekranu, menedżera haseł i osobnego profilu przeglądarki do pracy. Nie synchronizuj poufnych haseł na obcym komputerze. Po podejrzanym rozszerzeniu i przekierowaniach, reklamach lub nieznanych programach usuń je, zaktualizuj system i w razie potrzeby zamów diagnostykę.

Czego DBSC nie robi za użytkownika

Ochrona wiąże aktywną sesję z konkretną przeglądarką i urządzeniem, więc skradziony cookie trudniej wykorzystać gdzie indziej. Nie zastępuje jednak silnego hasła, 2FA, passkey, blokady ekranu ani kontroli rozszerzeń. Jeśli ktoś już wszedł na pocztę albo użytkownik zatwierdził niebezpieczny komunikat, DBSC nie cofnie skutków automatycznie.

Sprawdź sesje Google, listę urządzeń, przekierowania poczty i uprawnienia aplikacji. Po podejrzanym zdarzeniu zmień hasło z czystego urządzenia, cofnij nieznane tokeny i odśwież kody zapasowe. Przy przekierowaniach lub nieznanych programach zamów diagnostykę.

Dlaczego trzeba sprawdzić sesję

Zmiana hasła nie zawsze kończy wszystkie aktywne sesje. Jeśli ktoś zdobył cookie, może pozostać zalogowany, dopóki sesja nie zostanie odwołana. Po podejrzeniu otwórz stronę bezpieczeństwa Google, zakończ nieznane sesje, zmień hasło i sprawdź zapasowy e-mail oraz telefon.

DBSC nie chroni przed phishingiem, gdy użytkownik sam wpisuje hasło i kod. Sprawdzaj domenę, nie loguj się z reklamowych banerów i ograniczaj dostęp rozszerzeń. Przy nieznanych dodatkach oraz przekierowaniach zamów diagnostykę.

Co zrobić przy podejrzeniu kradzieży sesji

Na czystym urządzeniu zmień hasło poczty, zakończ aktywne sesje i sprawdź nieznane metody odzyskiwania. Cofnij dostęp aplikacji, odśwież 2FA i kody zapasowe. Jeżeli hasło było używane w innych usługach, zmień je wszędzie. Przy nieznanych dodatkach lub przekierowaniach zamów diagnostykę.

W firmie DBSC ma sens razem z politykami przeglądarki, ograniczeniem rozszerzeń i kontrolą urządzeń. W domu najważniejsze są aktualizacje, 2FA, menedżer haseł, blokada ekranu i sprawdzanie adresu logowania. Żadna technologia nie chroni przed wpisaniem sekretów na fałszywej stronie.

Co zrobić po podejrzanym logowaniu

Najpierw zmień hasło na czystym urządzeniu i zakończ wszystkie aktywne sesje. Sprawdź zapasowy e-mail, numer telefonu, reguły przekazywania wiadomości i aplikacje z dostępem do konta. Nie potwierdzaj obcych powiadomień i nie przekazuj kodów odzyskiwania.

Usuń podejrzane rozszerzenia, ale nie polegaj wyłącznie na reinstalacji przeglądarki. Przeskanuj system i zaktualizuj program. Jeśli wyszukiwarka zmienia się sama, otwierają się nowe karty albo konto jest ponownie przejmowane, zamów diagnostykę.

Używaj unikalnego hasła i uwierzytelniania dwuskładnikowego. Kody zapasowe przechowuj offline, nie w otwartym pliku na tym samym komputerze. Po oczyszczeniu ponownie sprawdź logowanie i listę aktywnych sesji.

Sprawdź urządzenia z zapisanym kontem i usuń nieznane klucze dostępu. Po zmianie hasła nie przywracaj automatycznie starych sesji.

Sprawdzaj alerty logowania przez oficjalną stronę, nie przez link z wiadomości.