为了应对日益猖獗的会话劫持攻击，谷歌（Google）在Chrome浏览器中推出的全新“设备绑定会话凭据”功能已正式上线。这项安全增强措施能将登录cookies与特定设备绑定，即便黑客在用户成功完成身份验证后窃取cookies，这些cookies也无法被利用。
该功能提供了一种超越现有保护措施的关键防护手段。尽管理想的密码、通行密钥和双因素认证（two-factor authentication）很重要，但它们都无法完全阻止他人入侵并窃取账户。而Chrome的这一新特性将极大提升破解难度——前提是网站运营者开始使用它。
这项名为“设备绑定会话凭据”的更新，已全面应用于Chrome的正式发布版。它旨在解决网络攻击者长期利用的“会话劫持”问题。通行密钥、强密码和双因素认证虽然能有效防御登录攻击，但它们仅作用于身份验证环节。一旦你登录成功并建立会话，这些安全机制的任务就完成了。它们无法防御黑客复制你的登录cookies，并用其悄悄潜入并控制你的账户。
你可以把默认状态想象成进入场馆时领取了一张没有照片的通行证。你向工作人员表明自己是VIP，并出示了身份证件。场馆方认为你不会分享通行证，所以上面没印你的照片。然而，当你持证入场后，有狡猾之徒趁机拍下了通行证的完美照片，然后向门卫出示打印件。这样一来，他们就能获得与你相同的权限，而你却浑然不觉，直到他们更新了系统内的照片信息，你被突然踢出局。
如果网站将你的账户cookies与特定设备绑定，就能更好地保护你的账户安全。挫败此类劫持攻击的一种方法是将会话与设备绑定，也就是说，为当前会话生成的cookies仅在其原设备上有效。黑客可以随意窃取cookies，但网站不会允许他们进入你的账户，因为cookies中的设备信息与黑客的电脑不匹配。但在此之前，这种做法并未在消费级网站中普及。目前，谷歌在Chrome中推出的“设备绑定会话凭据”功能，可立即用于个人Google账户和Google Workspace订阅用户，同时也提供了一种标准化的实现方法。
鉴于Chrome的广泛流行，其集成的设备绑定会话cookies很可能会刺激开发者采纳并实现这种办法来签发会话令牌。用户当然可以通过保持良好的在线习惯来降低遭受会话劫持的风险，例如安装知名、可信的软件和扩展程序，并在点击链接或输入登录信息前检查其地址。但在如今，仅靠谨慎并不足够。会话劫持可能以多种方式发生，例如通过安装为应用或浏览器扩展程序的恶意软件、网站上的恶意脚本以及钓鱼网站。当涉及安全性较低的网站时，攻击手段会更加多样。攻击者可以使用监控公共网络上的未加密流量或破解会话令牌的签发系统等方法。
更糟糕的是，即使安装了流行、经过审查且可信的应用或浏览器扩展程序，你仍可能成为攻击的受害者——合法的软件日后因开发者被黑客攻击或向恶意行为者妥协，从而转变为恶意软件。
因此，即使遵循最佳实践也无法保证绝对安全。而且，普通用户对网站的后端毫无控制权。像设备绑定会话cookies这类策略，正是这个日益混乱的网络世界所需的额外安全保障。希望开发者能尽快使其成为标准配置。
