Evita el robo de cookies con la vinculación de sesiones

Google Workspace mejora automáticamente la seguridad de las sesiones en línea de tus usuarios con las credenciales de sesión vinculadas al dispositivo (DBSC). El DBSC está diseñado para evitar el secuestro de sesiones, también conocido como robo de cookies.

Este tipo de ciberataque se produce cuando un tercero no autorizado obtiene el control de la sesión web activa de un usuario robando la cookie de sesión, a menudo a través de software malicioso en el dispositivo del usuario. Una cookie de sesión es un pequeño archivo de datos que contiene el identificador de sesión único que emite el sitio web durante el acceso. Al presentar esta cookie robada, el atacante puede hacerse pasar por el usuario legítimo y continuar con su sesión autenticada.

Las DBSC vinculan la sesión de un usuario a su dispositivo específico, lo que dificulta que los atacantes usen cookies robadas en otros dispositivos. Esto crea un límite de seguridad basado en hardware que reduce el riesgo de acceso no autorizado a las cuentas de usuario y mantiene seguros los datos sensibles. La DBSC está activada de forma predeterminada para todas las cuentas de Workspace. No es necesario que el administrador realice ninguna acción para activar esta protección.

Requisitos para usar el DBSC

• Navegador Chrome: Versión 146 o posterior para Windows Para obtener más información, consulta Cómo actualizar Google Chrome.
• Seguridad de hardware: Requiere funciones de seguridad basadas en hardware para almacenar de forma segura las claves criptográficas que se usan para vincular la sesión al dispositivo. En Windows, se trata de un módulo de plataforma segura (TPM), que es estándar en la mayoría de los dispositivos que ejecutan Windows 11. Consulta la documentación del fabricante del dispositivo para confirmar las capacidades del hardware.

Cómo se aplica la protección de DBSC

La protección de DBSC se aplica automáticamente cuando el dispositivo y el navegador de un usuario cumplen con los requisitos técnicos necesarios. En algunos casos, es posible que las sesiones no se vinculen. Estos son algunos de los motivos comunes:

• Entorno no compatible: Problemas con el sistema operativo, la versión del navegador o la seguridad del hardware del usuario (como un TPM en Windows)
• Sesiones existentes: La protección con DBSC solo se aplica a las sesiones nuevas. Los usuarios que ya habían accedido cuando se activó el DBSC deben salir y volver a acceder para vincular su sesión.
• Modificaciones del navegador: Algunas extensiones del navegador o los cambios manuales en las cookies pueden impedir que DBSC funcione correctamente.

Aplica el DBSC con el Acceso adaptado al contexto

Se limita a las apps web para computadoras y no se aplica a las APIs ni a las apps para dispositivos móviles

Puedes mejorar aún más la seguridad exigiendo que los usuarios tengan DBSC para acceder a apps específicas de Google Workspace. Cuando aplicas DBSC, se les solicita a los usuarios que vuelvan a acceder si el sistema detecta una diferencia con una sesión vinculada establecida anteriormente. Esta reautenticación permite que el sistema intente una nueva vinculación segura. Se bloquea el acceso a la app protegida a los usuarios de plataformas no admitidas. Esta medida de seguridad se configura a través del Acceso adaptado al contexto.

Para configurar la aplicación de la DBSC, sigue estos pasos:

1. Sigue las instrucciones para crear un nivel de acceso personalizado en Permite el acceso a las apps solo desde sesiones vinculadas al DBSC.
2. Asigna el nivel de acceso a las apps a las que deseas que solo se acceda a través de sesiones vinculadas al DBSC en el modo de supervisor para simular la aplicación sin bloquear el acceso del usuario.
3. Después de evaluar el impacto, asigna niveles de acceso en el modo activo para aplicar el acceso solo a las sesiones vinculadas al DBSC. Para obtener más información, consulta Implementa el Acceso adaptado al contexto.

La aplicación forzosa del DBSC no es inmediata, lo que significa que, después de que un usuario accede, hay un período de gracia antes de que se aplique la aplicación forzosa. Este diseño admite posibles problemas de vinculación temporales. Una vez que se vinculan, el sistema verifica periódicamente si los usuarios que acceden a las apps especificadas tienen sesiones vinculadas a DBSC. Cualquier reautenticación restablecerá este período de gracia, y no se aplicará el DBSC durante esa reautenticación.

Investiga problemas de protección y sesiones de DBSC

Puedes usar la herramienta de investigación de seguridad para supervisar la protección del DBSC y solucionar problemas de interrupciones de sesiones. Existen 2 fuentes de registros para la actividad del DBSC:

• Eventos de registro del usuario: Supervisa la vinculación de tokens de acceso a los dispositivos del usuario.
• Eventos de registro de la Evaluación de Acceso: Revisa el estado de cookies específicas.

Nota: Los eventos de registro de DBSC solo son visibles para la cuenta principal cuando varias cuentas de usuario acceden al mismo perfil del navegador Chrome.

Google, Google Workspace y las marcas y los logotipos relacionados son marcas comerciales de Google LLC. Todos los demás nombres de productos y empresas son marcas comerciales de las empresas con las que se encuentran asociados.