Avec la montée en puissance des cyberattaques dites “sans mot de passe”, Google tente de reprendre la main avec une nouveauté intégrée à Google Chrome 146.
Le vrai problème : des pirates qui contournent l’authentification
Les cybercriminels ne cherchent plus seulement à voler des identifiants. Leur cible principale désormais : les cookies de session.
Ces petits fichiers permettent de rester connecté à un compte sans avoir à retaper son mot de passe. Une aubaine pour les hackers : une fois récupérés via des malwares appelés infostealers, ils peuvent accéder directement aux comptes des victimes sans passer par une page de connexion.
La réponse de Google : lier votre session à votre appareil
Pour contrer cette menace, Google introduit une technologie baptisée Device Bound Session Credentials (DBSC).
Le principe est simple sur le papier :
Une session web est désormais attachée à l’appareil utilisé. Concrètement, Chrome s’appuie sur des composants matériels sécurisés (comme le TPM sous Windows) pour générer une clé cryptographique unique. Cette clé ne quitte jamais la machine.
Ainsi, même si un pirate vole un cookie de session :
– il ne pourra pas l’utiliser ailleurs
– il lui manquera la preuve cryptographique liée à l’appareil
Autrement dit, le cookie seul ne suffit plus.
Une sécurité plus intelligente mais pas totale
Cette approche marque un changement majeur:
Google ne cherche plus forcément à empêcher le vol, mais à rendre ce vol inutile. Autre amélioration, les cookies deviennent temporaires et sont renouvelés régulièrement, ce qui réduit encore la fenêtre d’exploitation pour les attaquants.
Vers la fin du mot de passe ?
Avec cette évolution, une tendance se confirme . Le mot de passe n’est plus au centre de la sécurité. Entre les passkeys, la biométrie et maintenant les sessions liées au matériel, l’authentification devient de plus en plus invisible et dépendante des appareils.
Une avancée bienvenue face à des attaques toujours plus sophistiquées, mais qui soulève aussi une question :
sommes-nous en train de remplacer un problème (les mots de passe) par un autre (la dépendance aux machines) ?
