Das FBI Atlanta meldete, dass Cyberkriminelle auf Session-Cookie-Diebstahl setzen, um E-Mail-Konten zu übernehmen. Zwar ist diese Methode nicht neu, sie scheint aber zuzunehmen. Vor einer Account-Übernahme auf diesem Weg schützen auch sicherere Anmeldemethoden, etwa Passkeys oder die verschiedenen Arten der Zwei-Faktor-Authentifizierung nicht.

Google arbeitet bereits seit einiger Zeit an einer Lösung für das Problem. In Zukunft sollen sogenannte "Device Bound Session Credentials" verhindern, dass Angreifer eine aktive Sitzung aus der Ferne übernehmen können. In einem öffentlichen GitHub-Projekt findet die Entwicklung statt und soll ein offenen Webstandard schaffen.

An das jeweilige Gerät sollen aktive Sitzungen mit Device Bound Session Credentials gebunden werden. So könnten gestohlene Cookies nicht mehr genutzt werden, um sich aus der Ferne in einen Account einzuloggen.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE