セッション バインディングで Cookie の盗難を防止する

Google Workspace は、デバイスにバインドされたセッション認証情報（DBSC）を使用して、ユーザーのオンライン セッションのセキュリティを自動的に強化します。DBSC は、セッション ハイジャック（Cookie 窃取とも呼ばれます）を防ぐように設計されています。

この種のサイバー攻撃は、ログイン中にウェブサイトから発行されるセッション Cookie（一意のセッション ID を含んだ小さなデータファイル）が盗まれ、不正な第三者がユーザーのアクティブなウェブ セッションを乗っ取ることで発生します。セッション Cookie は、多くの場合、ユーザーのデバイス上のマルウェアによって盗まれます。セッション Cookie は、ログイン中にウェブサイトから発行される一意のセッション ID を含んだ小さなデータファイルです。攻撃者は、この盗んだ Cookie を提示することで、正当なユーザーになりすまし、認証済みのセッションを続行できます。

DBSC は、ユーザーのセッションを特定のデバイスにバインドすることで、攻撃者が盗んだ Cookie を他のデバイスで使用することを困難にします。これにより、ハードウェア ベースのセキュリティ境界が作成され、ユーザー アカウントに対する不正アクセスのリスクが軽減され、センシティブ データが安全に保たれます。DBSC は、すべての Workspace アカウントでデフォルトでオンになっています。この保護を有効にするために、管理者による操作は必要ありません。

DBSC を使用するための要件

• Chrome ブラウザ: Windows 版のバージョン 146 以降。詳しくは、Google Chrome を更新するをご覧ください。
• ハードウェア セキュリティ: セッションをデバイスにバインドするために使用される暗号鍵を安全に保存するには、ハードウェア ベースのセキュリティ機能が必要です。 Windows の場合、これはトラステッド プラットフォーム モジュール（TPM）です。これは、Windows 11 が稼動している ほとんどのデバイスで標準搭載されています。ハードウェア機能については、デバイス メーカーのドキュメントをご確認ください。

DBSC 保護の適用方法

ユーザーのデバイスとブラウザが必要な技術要件を満たしている場合、DBSC 保護が自動的に適用されます。場合によっては、セッションがバインドされないことがあります。一般的な理由は次のとおりです。

• サポートされていない環境—ユーザーのオペレーティング システム、ブラウザ のバージョン、ハードウェア セキュリティ（Windows の TPM など）に問題がある。
• 既存のセッション \- DBSC 保護は新しいセッションにのみ適用されます。DBSC が有効になったときにすでにログインしていたユーザーは、セッションをバインドするためにログアウトして再度ログインする必要があります。
• ブラウザの変更—特定のブラウザ拡張機能や Cookie の手動変更により、DBSC が正しく機能しないことがあります。

コンテキストアウェア アクセスで DBSC を強制適用する

デスクトップ ウェブアプリに限定され、モバイルアプリや API には適用されません

特定の Google Workspace アプリにアクセスする際に、ユーザーに対して DBSC を必須にすることで、セキュリティをさらに強化できます。DBSC を強制適用すると、以前に確立されたバインドされたセッションとの違いが検出された場合、ユーザーに再度ログインするよう求められます。この再認証により、システムは新しい安全なバインドを試行できます。サポートされていないプラットフォームのユーザーは、保護されたアプリにアクセスできなくなります。このセキュリティ対策は、コンテキストアウェア アクセスを使用して構成されます。

DBSC の強制適用を設定するには:

1. DBSC セッションからのアプリへのアクセスのみを許可するの手順に沿って、カスタム アクセスレベルを作成します。
2. モニターモード で、DBSC セッションのみにアクセスを許可したいアプリにアクセスレベルを割り当てることで、ユーザーのアクセスをブロックすることなく適用をシミュレートできます。
3. 影響を評価したら、アクティブ モード でアクセスレベルを割り当て、DBSC セッションによるアクセスのみを適用します。詳しくは、コンテキストアウェア アクセスを実装する をご覧ください。

DBSC の強制適用は即時ではありません。つまり、ユーザーがログインしてから強制適用されるまでの間に猶予期間があります。このように設計することで、一時的なバインドの問題に対応できます。バインドされると、指定されたアプリにアクセスするユーザーが DBSC セッションを持っているかどうかが定期的にチェックされます。再認証を行うとこの猶予期間はリセットされます。また、この再認証の際には DBSC の強制適用は行われません。

DBSC 保護とセッションの問題を調査する

セキュリティ調査ツールを使用して、DBSC 保護をモニタリングし、セッションの中断のトラブルシューティングを行うことができます。DBSC アクティビティのログソースは 2 つあります。

• ユーザーのログイベント—ユーザー デバイスへのアクセス トークンのバインドをモニタリングします。
• アクセス評価のログイベント \- 特定の Cookie のステータスを確認します。

注: 同じ Chrome ブラウザ プロファイルに複数のユーザー アカウントがログインしている場合、DBSC ログイベントはプライマリ アカウントにのみ表示されます。

Google、Google Workspace、および関連するマークとロゴは、Google LLC の商標です。その他すべての企業名および商品名は関連各社の商標です。