Google Chrome s'est doté d'un nouveau mécanisme de sécurité conçu pour rendre le piratage de comptes plus difficile. Les identifiants de session liés à l'appareil (DBSC) associent une session utilisateur active à un appareil spécifique ; ainsi, un cookie de session volé ne devrait plus suffire à un pirate pour se connecter au compte d'une victime. Les cookies de session permettent aux sites web de mémoriser qu'un utilisateur s'est déjà authentifié avec succès. Cela évite de devoir ressaisir son mot de passe ou de s'authentifier à chaque nouvelle page. Le problème survient lorsqu'un tel fichier est détourné par un logiciel malveillant, comme un voleur d'informations, ou lors d'une attaque de phishing sophistiquée. Un cybercriminel peut alors exploiter la session active de la victime et contourner même certaines mesures de sécurité liées à l'authentification à deux facteurs. DBSC est conçu pour complexifier considérablement ce type de situation. Chrome génère une clé cryptographique unique et la stocke dans une zone matérielle sécurisée de l'appareil. Les ordinateurs Windows utilisent le TPM à cette fin, tandis que les appareils Apple utilisent la Secure Enclave. La clé privée ne peut généralement pas être exportée de cet environnement.

Lorsqu'un service prenant en charge DBSC souhaite vérifier une session active, le navigateur doit répondre à la demande d'authentification à l'aide d'une clé stockée sur l'appareil. En pratique, un individu malveillant peut dérober le cookie de session, mais son simple transfert vers son propre navigateur ne suffit plus, car il n'a pas accès à la clé protégée nécessaire à la confirmation de la session. Cela ressemble à certains égards au fonctionnement des passkeys, où la sécurité repose également sur la cryptographie à clé publique. Pour l'instant, la solution reste toutefois peu disponible. DBSC est pris en charge par Chrome 147 pour Windows et Chrome 150 pour macOS, et Google n'active cette fonctionnalité que pour un nombre restreint d'utilisateurs. Cela laisse supposer une phase de test avant un déploiement plus large. On ignore également quand les autres navigateurs basés sur Chromium adopteront ce mécanisme.