Evitar o roubo de cookies com a vinculação de sessão (Beta)

Como administrador, você pode melhorar a segurança das sessões on-line dos usuários implementando as credenciais de sessão vinculadas ao dispositivo (DBSC, na sigla em inglês). O DBSC foi criado para evitar o sequestro de sessão, também conhecido como roubo de cookies.

Esse tipo de ataque cibernético ocorre quando uma parte não autorizada assume o controle da sessão ativa de um usuário na Web roubando o cookie de sessão, geralmente por malware no dispositivo do usuário. Um cookie de sessão é um pequeno arquivo de dados que contém o identificador exclusivo da sessão emitido pelo site durante o login. Ao apresentar esse cookie roubado, o invasor pode se passar pelo usuário legítimo e continuar a sessão autenticada.

O DBSC vincula a sessão de um usuário ao dispositivo específico, dificultando que invasores usem cookies roubados em outros dispositivos. Ao usar o DBSC, você reduz o risco de acesso não autorizado às contas de usuários, mantendo os dados do usuário sensíveis seguros.

Requisitos para usar o DBSC

• Chrome para Windows: no momento, o DBSC está disponível apenas no navegador Chrome para dispositivos Windows.
• Segurança de hardware (TPM): o dispositivo do usuário precisa ter um Módulo de plataforma confiável (TPM), que é um componente de hardware padrão já disponível para a maioria dos dispositivos com Windows 11. Esse hardware armazena com segurança as chaves criptográficas usadas para vincular a sessão ao dispositivo. Normalmente, os usuários podem encontrar informações sobre a disponibilidade do TPM nas configurações do sistema do dispositivo ou consultando a documentação do fabricante.
• Versão do Chrome: o usuário precisa ter a versão 136 ou mais recente do Chrome. Para mais detalhes, acesse Atualizar o Google Chrome.
• Conta principal: a proteção do DBSC e os dados de eventos de registro estão disponíveis apenas para a conta principal em um perfil do navegador Chrome.

Observação: a vinculação de sessão protege a maioria dos cookies do Google, mas alguns cookies ou sessões podem permanecer não vinculados.

Ativar DBSC

Antes de começar: se necessário, veja como aplicar a configuração a um departamento ou grupo.

1. No Google Admin Console, acesse Menu Segurança Controle de dados e acesso Controle de sessão do Google.

   Acesse Controle de sessão do Google

   Exige o privilégio de administrador Configurações de segurança.

2. (Opcional) Para aplicar a configuração apenas a alguns usuários, na lateral, selecione uma unidade organizacional (geralmente usada para departamentos) ou um grupo de configuração (avançado).

   As configurações do grupo substituem as definições das unidades organizacionais. Saiba mais

3. Em Credenciais de sessão vinculadas ao dispositivo, selecione Ativar DBSC.
4. Clique em Salvar. Também é possível clicar em Substituir em uma unidade organizacional.

   Para restaurar o valor herdado, clique em Herdar (ou Cancelar configuração para um grupo).

Aplicar as credenciais de sessões vinculadas ao dispositivo com o acesso baseado no contexto

Limitado a apps da Web para computador e não aplicável a apps para dispositivos móveis ou APIs

Você pode aumentar ainda mais a segurança exigindo que os usuários tenham o DBSC para acessar apps específicos do Google Workspace. Quando você aplica o DBSC, os usuários são solicitados a fazer login novamente se o sistema detectar uma diferença em relação a uma sessão vinculada estabelecida anteriormente. Essa reautenticação permite que o sistema tente uma nova vinculação segura. Os usuários em plataformas sem suporte não podem acessar o app protegido. Essa medida de segurança é configurada pelo Acesso baseado no contexto.

Para configurar a aplicação do DBSC:

1. Ative as credenciais de sessões vinculadas ao dispositivo para os usuários que você quer proteger. Confira as etapas em Ativar o DBSC.
2. Siga as instruções para criar um nível de acesso personalizado em Permitir o acesso a apps apenas de sessões vinculadas ao DBSC.
3. Atribua o nível de acesso aos apps que você quer que sejam acessados apenas por sessões limitadas por DBSC no modo de monitoramento para simular a aplicação sem bloquear o acesso do usuário.
4. Depois de avaliar o impacto, atribua níveis de acesso no modo ativo para aplicar o acesso apenas por sessões vinculadas ao DBSC. Para mais detalhes, acesse Implantar o acesso baseado no contexto.

A aplicação do DBSC não é imediata, o que significa que, depois que um usuário faz login, há um período de carência antes da aplicação. Esse design acomoda possíveis problemas de vinculação temporária. Depois da vinculação, o sistema verifica periodicamente se os usuários que acessam os apps especificados têm sessões vinculadas a DBSC. Qualquer reautenticação vai redefinir esse período de carência, e o DBSC não será aplicado durante essa reautenticação.

Investigar problemas de proteção e sessão de DBSC

Use a ferramenta de investigação de segurança para monitorar a proteção do DBSC e resolver problemas de interrupções de sessão. Há duas fontes de registros para a atividade do DBSC:

• Eventos de registro do usuário: monitoram a vinculação de tokens de acesso a dispositivos do usuário.
• Eventos de registro da avaliação do acesso: analise o status de cookies específicos.

Google, Google Workspace e marcas e logotipos relacionados são marcas registradas da Google LLC. Todos os outros nomes de empresas e produtos são marcas registradas das empresas às quais estão associados.