Previeni il furto di cookie con l'associazione di sessione (beta)

In qualità di amministratore, puoi migliorare la sicurezza delle sessioni online dei tuoi utenti implementando le credenziali di sessione associate al dispositivo (DBSC). DBSC è progettato per impedire il furto di sessione, noto anche come furto di cookie.

Questo tipo di attacco informatico si verifica quando una terza parte non autorizzata prende il controllo della sessione web attiva di un utente rubando il cookie di sessione, spesso tramite malware sul dispositivo dell'utente. Un cookie di sessione è un piccolo file di dati contenente l'identificatore univoco della sessione emesso dal sito web durante l'accesso. Presentando questo cookie rubato, l'aggressore può impersonare l'utente legittimo e continuare la sessione autenticata.

DBSC funziona associando la sessione di un utente al suo dispositivo specifico, rendendo difficile per gli aggressori utilizzare i cookie rubati su altri dispositivi. Utilizzando DBSC, puoi ridurre il rischio di accesso non autorizzato agli account utente, mantenendo al sicuro i dati sensibili degli utenti.

Requisiti per l'utilizzo di DBSC

• Chrome per Windows: al momento, DBSC è disponibile solo nel browser Chrome per i dispositivi Windows.
• Sicurezza hardware (TPM): il dispositivo dell'utente deve avere un Trusted Platform Module (TPM), un componente hardware standard già disponibile per la maggior parte dei dispositivi con Windows 11. Questo hardware archivia in modo sicuro le chiavi crittografiche utilizzate per associare la sessione al dispositivo. In genere, gli utenti possono trovare informazioni sulla disponibilità del TPM nelle impostazioni di sistema del dispositivo o consultando la documentazione del produttore del dispositivo.
• Versione di Chrome: l'utente deve avere Chrome versione 136 o successive. Per maggiori dettagli, vai a Aggiornare Google Chrome.
• Account principale: i dati degli eventi di log e della protezione DBSC sono disponibili solo per l'account principale in un profilo del browser Chrome.

Nota: il vincolo della sessione protegge la maggior parte dei cookie di Google, anche se alcuni cookie o sessioni potrebbero rimanere non vincolati.

Attivare DBSC

Prima di iniziare: se necessario, scopri come applicare l'impostazione a un reparto o a un gruppo.

1. Nella Console di amministrazione Google, vai a Menu Sicurezza Accesso e controllo dei dati Controllo sessione Google.

   Vai a Controllo sessione Google

   È necessario disporre del privilegio di amministratore Impostazioni di sicurezza.

2. (Facoltativo) Per applicare l'impostazione solo per alcuni utenti, seleziona a lato un'unità organizzativa (spesso utilizzata per i reparti) o un gruppo di configurazione (avanzata).

   Viene eseguito l'override delle impostazioni del gruppo sulle unità organizzative. Scopri di più

3. Per Credenziali della sessione associate al dispositivo, seleziona Attiva le credenziali della sessione associate al dispositivo.
4. Fai clic su Salva. In alternativa, puoi fare clic su Sostituisci per un'unità organizzativa.

   Per ripristinare in un secondo momento il valore ereditato, fai clic su Eredita (o Annulla impostazioni per un gruppo).

Applicare le credenziali di sessione associate al dispositivo con l'accesso sensibile al contesto

Limitato alle app web desktop e non applicabile ad API o app mobile

Puoi migliorare ulteriormente la sicurezza richiedendo agli utenti di disporre del controllo delle autorizzazioni a livello di dispositivo per accedere ad app Google Workspace specifiche. Quando applichi le credenziali di sessione associate al dispositivo, agli utenti viene chiesto di accedere di nuovo se il sistema rileva una differenza con una sessione associata stabilita in precedenza. Questa riautenticazione consente al sistema di tentare una nuova associazione sicura. Gli utenti su piattaforme non supportate non possono accedere all'app protetta. Questa misura di sicurezza viene configurata tramite l'accesso sensibile al contesto.

Per configurare l'applicazione del criterio DBSC:

1. Attiva le credenziali di sessione associate al dispositivo per gli utenti che vuoi proteggere. Per i passaggi, vai ad Attivare le credenziali di sessione associate al dispositivo.
2. Segui le istruzioni per creare un livello di accesso personalizzato in Consenti l'accesso alle app solo da sessioni legate a DBSC .
3. Assegna il livello di accesso alle app a cui vuoi che venga eseguito l'accesso solo da sessioni vincolate a DBSC in modalità di monitoraggio per simulare l'applicazione forzata senza bloccare l'accesso degli utenti.
4. Dopo aver valutato l'impatto, assegna i livelli di accesso in modalità attiva per applicare l'accesso solo per le sessioni legate a DBSC. Per maggiori dettagli, vai a Esegui il deployment dell'accesso sensibile al contesto.

L'applicazione forzata di DBSC non è immediata, il che significa che dopo l'accesso di un utente è previsto un periodo di tolleranza prima dell'applicazione. Questa progettazione tiene conto di potenziali problemi di associazione temporanei. Una volta associato, il sistema controlla periodicamente se gli utenti che accedono alle app specificate hanno sessioni associate a DBSC. Qualsiasi autenticazione di nuovo reimposta questo periodo di tolleranza e DBSC non verrà applicato durante l'autenticazione di nuovo.

Indagare sulla protezione DBSC e sui problemi di sessione

Puoi utilizzare lo strumento di indagine sulla sicurezza per monitorare la protezione DBSC e risolvere i problemi di interruzione della sessione. Esistono due origini log per l'attività DBSC:

• Eventi del log utente : monitora l'associazione dei token di accesso ai dispositivi degli utenti.
• Eventi del log di valutazione dell'accesso : esamina lo stato di cookie specifici.

Google, Google Workspace e i marchi e i loghi correlati sono marchi di Google LLC. Tutti gli altri nomi di società e prodotti sono marchi delle società a cui sono associati.