セッション バインディングで Cookie の盗難を防止する

Google Workspace は、デバイスにバインドされたセッション認証情報（DBSC）を使用して、ユーザーのオンライン セッションのセキュリティを自動的に強化します。DBSC は、セッション ハイジャック（Cookie 窃取とも呼ばれます）を防ぐように設計されています。

この種のサイバー攻撃は、ログイン中にウェブサイトから発行されるセッション Cookie（多くの場合、ユーザーのデバイス上のマルウェアを介して）が盗まれ、不正な第三者がユーザーのアクティブなウェブ セッションを乗っ取ることで発生します。セッション Cookie は、一意のセッション ID を含んだ小さなデータファイルです。攻撃者は、この盗まれた Cookie を提示することで、正規のユーザーになりすまして認証済みセッションを継続できます。

DBSC は、ユーザーのセッションを特定のデバイスにバインドすることで、攻撃者が盗んだ Cookie を他のデバイスで使用することを困難にします。これにより、ハードウェアベースのセキュリティ境界が作成され、ユーザー アカウントに対する不正アクセスのリスクが軽減され、センシティブ データが安全に保たれます。DBSC は、すべての Workspace アカウントでデフォルトで有効になっています。この保護を有効にするために管理者の操作は必要ありません。

DBSC を使用するための要件

• Chrome ブラウザ: Windows の場合はバージョン 146 以降、macOS の場合はバージョン 148 以降 。詳しくは、Google Chrome を更新するをご覧ください。
• ハードウェア セキュリティ: セッションをデバイスにバインドするために使用される暗号鍵を安全に保存するには、ハードウェアベースのセキュリティ機能が必要です。 Windows の場合、これはトラステッド プラットフォーム モジュール（TPM）です。 Windows 11 が稼動しているほとんどのデバイスで標準搭載されています。macOS の場合、これは Secure Enclave（最新の Mac ラップトップで利用可能）です。ハードウェアの機能については、デバイス メーカーのドキュメントをご確認ください。

DBSC 保護の適用方法

ユーザーのデバイスとブラウザが必要な技術要件を満たしている場合、DBSC 保護は自動的に適用されます。場合によっては、セッションがバインドされないことがあります。一般的な理由は次のとおりです。

• サポートされていない環境—ユーザーのオペレーティング システム、ブラウザ のバージョン、ハードウェア セキュリティ（Windows の TPM など）に関する問題。
• 既存のセッション—DBSC 保護は新しいセッションにのみ適用されます。DBSC が有効になったときにすでにログインしていたユーザーは、セッションをバインドするためにログアウトして再度ログインする必要があります。
• ブラウザの変更—特定のブラウザ拡張機能や Cookie の手動変更により、DBSC が正しく機能しないことがあります。

コンテキストアウェア アクセスで DBSC を強制適用する

デスクトップ ウェブアプリに限定され、モバイルアプリや API には適用されません

特定の Google Workspace アプリにアクセスする際に、ユーザーに対して DBSC を必須にすることで、セキュリティをさらに強化できます。DBSC を強制適用すると、以前に確立されたバインドされたセッションとの違いが検出された場合、ユーザーに再度ログインするよう求められます。この再認証により、システムは新しい安全なバインディングを試行できます。サポートされていないプラットフォームのユーザーは、保護されたアプリにアクセスできません。このセキュリティ対策は、コンテキストアウェア アクセスを使用して構成されます。

DBSC の強制適用を設定するには:

1. DBSC セッションからのアプリへのアクセスのみを許可するの手順に沿って、カスタム アクセスレベルを作成します。
2. モニターモード で、DBSC セッションのみにアクセスを許可したいアプリにアクセスレベルを割り当てることで、ユーザーのアクセスをブロックすることなく適用をシミュレートできます。
3. 影響を評価したら、アクティブ モード でアクセスレベルを割り当て、DBSC セッションによるアクセスのみを適用します。詳しくは、コンテキストアウェア アクセスを実装する をご覧ください。

DBSC の強制適用は即時ではありません。つまり、ユーザーがログインしてから強制適用されるまでの間に猶予期間があります。この設計は、一時的なバインディングの問題に対応するためのものです。バインドされると、指定されたアプリにアクセスするユーザーが DBSC セッションをバインドしているかどうかが定期的にチェックされます。再認証を行うとこの猶予期間はリセットされます。また、この再認証の際には DBSC の強制適用は行われません。

DBSC 保護とセッションの問題を調査する

セキュリティ調査ツールを使用して、DBSC 保護をモニタリングし、セッションの中断のトラブルシューティングを行うことができます。DBSC アクティビティのログソースは 2 つあります。

• ユーザーのログのイベント—アクセス トークンのユーザー デバイスへのバインディングをモニタリングします。
• アクセス評価のログイベント—特定の Cookie のステータスを確認します。

注: 複数のユーザー アカウントが同じ Chrome ブラウザ プロファイルにログインしている場合、DBSC ログイベントはプライマリ アカウントにのみ表示されます。

Google、Google Workspace、および関連するマークとロゴは、Google LLC の商標です。その他すべての企業名および商品名は関連各社の商標です。