Chrome Perkenalkan DBSC, Benteng Baru Lawan Pembajakan Akun

Google menambahkan lapisan keamanan baru pada peramban Chrome yang disebut-sebut sebagai perlindungan terkuat sejauh ini terhadap praktik pembajakan akun yang kian marak. Fitur bernama Device-Bound Session Credentials (DBSC) itu dirancang untuk menutup celah yang selama ini dimanfaatkan penjahat siber, terutama setelah pengguna internet berbondong-bondong mengadopsi autentikasi dua faktor (2FA), passkeys, dan berbagai perlindungan login lainnya.

Paradoksnya justru terjadi di sini. Ketika pintu depan semakin sulit ditembus berkat 2FA dan passkeys, para peretas mengalihkan serangan ke "pintu belakang": mencuri cookie sesi yang tersimpan di peramban. DBSC bekerja dengan menyimpan kunci enkripsi unik di dalam benteng berbasis silikon yang tertanam langsung pada perangkat yang menjalankan peramban. Pada komputer Windows, benteng itu disebut TPM (Trusted Platform Module). Pada perangkat macOS dan iOS, Apple menamakannya Secure Enclave. Platform lain menggunakan sebutan berbeda, namun prinsipnya sama: sebuah ruang terisolasi yang tidak bisa diakses sistem operasi maupun aplikasi biasa.

Versi terbaru Chrome untuk Windows dan macOS kini secara otomatis menghasilkan kunci kriptografi yang disimpan di dalam benteng tersebut. Karena kunci tidak pernah meninggalkan chip, malware sekalipun tidak dapat menyalinnya — sebuah lompatan signifikan dibandingkan perlindungan berbasis perangkat lunak konvensional.

Penangkal Pencurian Cookie Sesi

DBSC secara spesifik melindungi pengguna dari pencurian cookie sesi, yakni deretan karakter unik yang disimpan situs web di peramban. Cookie sesi berperan besar mempercepat aktivitas menjelajah di situs-situs sensitif yang menuntut autentikasi pengguna. Alih-alih meminta pertukaran kredensial setiap kali pengguna membuka halaman baru, server cukup memasang cookie sesi yang secara efektif membuktikan bahwa pengguna telah berhasil masuk.

Kenyamanan inilah yang kemudian dieksploitasi. Dengan mencuri cookie sesi, penyerang dapat menyamar sebagai korban tanpa perlu mengetahui kata sandi, tanpa memicu notifikasi login, dan tanpa harus melewati verifikasi 2FA sama sekali. Dalam beberapa tahun terakhir, malware pencuri informasi (infostealer) seperti RedLine, Vidar, dan Raccoon memanen jutaan cookie sesi yang kemudian diperjualbelikan di forum gelap dan pasar gelap siber.

Mengapa Perlindungan Ini Disebut Paling Kuat?

Perbedaan mendasar DBSC terletak pada pengikatan kriptografi antara sesi login dan perangkat fisik. Ketika sebuah situs mendukung DBSC, cookie sesi yang diterbitkan hanya valid jika dibarengi bukti kriptografi dari kunci yang tersimpan di TPM atau Secure Enclave. Artinya, cookie yang berhasil dicuri dan dipindahkan ke komputer lain menjadi tidak berguna — penyerang tetap membutuhkan perangkat fisik korban.

Para peneliti keamanan menilai pendekatan device-bound ini sebagai perubahan paradigma: dari melindungi proses login menjadi melindungi keseluruhan masa berlaku sesi, area yang selama ini menjadi titik buta pertahanan digital. Perlindungan semacam ini sebelumnya hanya dinikmati kalangan enterprise dengan infrastruktur mahal; kini Google membawanya ke miliaran pengguna Chrome secara bawaan.

Tantangan Adopsi di Lapangan

Meski menjanjikan, efektivitas DBSC sangat bergantung pada dukungan dari sisi situs web. Layanan seperti perbankan, email, dan media sosial harus memperbarui mekanisme penerbitan cookie mereka agar kompatibel dengan skema pengikatan perangkat ini. Tanpa dukungan server, perlindungan di sisi peramban tidak akan berarti banyak.

Pertanyaan lain yang mengemuka adalah interoperabilitas lintas peramban. Pengguna yang berpindah antara Chrome, Firefox, dan Safari membutuhkan standar terbuka agar perlindungan serupa berlaku universal. Sejauh ini, pendekatan pengikatan sesi ke perangkat memang tengah dibahas sebagai standar web terbuka, namun adopsi luas diprediksi masih membutuhkan waktu bertahun-tahun.

Bagi pengguna, langkah praktis yang bisa dilakukan adalah memastikan Chrome selalu diperbarui ke versi terbaru dan tetap waspada terhadap malware, karena DBSC melindungi sesi — bukan mencegah infeksi itu sendiri. Kehadiran fitur ini menandai babak baru perlombaan senjata antara pembuat peramban dan penjahat siber, di mana untuk pertama kalinya keunggulan tampak berpihak pada pertahanan.