Token binding
Il legame crittografico tra un token di sessione (o un cookie) e il dispositivo specifico su cui è stato emesso, così che un token rubato sia inutilizzabile su un'altra macchina. La contromisura diretta al furto di cookie/token, che altrimenti aggira perfino l'MFA.
Il problema: un normale cookie di sessione è un «bearer token»: chi lo possiede È autenticato, indipendentemente da dove si trovi. Se un infostealer ruba il cookie, l'attaccante può importarlo e prendere il controllo della sessione, scavalcando password e MFA.
Il token binding lo risolve: il token è collegato a una chiave privata custodita in sicurezza sul dispositivo (in un TPM o in una secure enclave) e ogni uso richiede una prova («proof of possession») che solo quel dispositivo può fornire, quindi un token rubato senza la chiave non serve a nulla altrove. Incarnazioni moderne: Device Bound Session Credentials (DBSC, promosse da Google/Chrome) e analoghi in OAuth (DPoP, token vincolati con mTLS). È la risposta al fatto che le sessioni rubate sono diventate una delle minacce maggiori in un mondo con MFA. Imparentato con cookie theft e autenticazione mTLS.