Google verstärkt Sicherheit mit DBSC und verbessert Patch-Transparenz

MOUNTAIN VIEW / LONDON (IT BOLTWISE) – Google hat kürzlich bedeutende Fortschritte im Bereich der Sicherheitstechnologie angekündigt, die sowohl die Benutzererfahrung als auch die allgemeine Sicherheit im Internet verbessern sollen.

Google hat die Einführung der Device Bound Session Credentials (DBSC) im offenen Beta-Stadium bekannt gegeben, um Nutzer vor dem Diebstahl von Sitzungscookies zu schützen. Diese Technologie, die erstmals im April 2024 als Prototyp vorgestellt wurde, bindet Authentifizierungssitzungen an ein bestimmtes Gerät, um zu verhindern, dass Angreifer gestohlene Cookies verwenden, um sich in die Konten der Opfer einzuloggen. DBSC ist derzeit im Chrome-Browser unter Windows verfügbar und stärkt die Sicherheit nach der Anmeldung, indem es ein Sitzungscookie an das Gerät bindet, von dem aus sich der Nutzer authentifiziert hat. Andy Wen, Senior Director of Product Management bei Google Workspace, betonte, dass DBSC nicht nur dazu dient, Benutzerkonten nach der Authentifizierung zu sichern, sondern es auch erheblich schwieriger macht, Sitzungscookies wiederzuverwenden, was die Integrität der Sitzung verbessert. Neben DBSC hat Google auch die allgemeine Verfügbarkeit von Passkey-Unterstützung für über 11 Millionen Google Workspace-Kunden angekündigt, zusammen mit erweiterten Administratorsteuerungen zur Überprüfung der Registrierung und zur Einschränkung von Passkeys auf physische Sicherheitsschlüssel. Darüber hinaus plant Google, ein Shared Signals Framework (SSF) in einer geschlossenen Beta für ausgewählte Kunden einzuführen, um den Austausch wichtiger Sicherheitsinformationen in nahezu Echtzeit zu ermöglichen. Dieses Framework soll als robustes System fungieren, um ‘Empfänger’ schnell über bedeutende Ereignisse zu informieren und eine koordinierte Reaktion auf Sicherheitsbedrohungen zu erleichtern. Google Project Zero, ein Sicherheitsteam innerhalb des Unternehmens, das sich der Jagd nach Zero-Day-Schwachstellen widmet, hat eine neue Testpolitik namens Reporting Transparency angekündigt, um das sogenannte Upstream-Patch-Gap zu adressieren. Während das Patch-Gap normalerweise den Zeitraum zwischen der Veröffentlichung eines Fixes für eine Schwachstelle und der Installation des entsprechenden Updates durch den Benutzer beschreibt, bezieht sich das Upstream-Patch-Gap auf den Zeitraum, in dem ein Upstream-Anbieter einen Fix bereitstellt, aber die Downstream-Kunden diesen Patch noch nicht integriert und an Endnutzer ausgeliefert haben. Um dieses Upstream-Patch-Gap zu schließen, plant Google, die Entdeckung einer Schwachstelle innerhalb einer Woche nach deren Meldung an den entsprechenden Anbieter öffentlich zu teilen. Diese Informationen sollen den betroffenen Anbieter oder das Open-Source-Projekt, das den Bericht erhalten hat, das betroffene Produkt, das Datum der Berichtseinreichung und das Ablaufdatum der 90-Tage-Offenlegungsfrist umfassen. Google betont, dass keine technischen Details, Proof-of-Concept-Code oder andere Informationen, die Angreifern helfen könnten, vor Ablauf der Frist veröffentlicht werden. Mit diesem Ansatz hofft Google Project Zero, die Veröffentlichung von Patches für die von Endnutzern genutzten Geräte, Systeme und Dienste rechtzeitig voranzutreiben und das gesamte Sicherheitsökosystem zu stärken.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!