トークンバインディング
セッショントークン(やクッキー)を、発行された特定の端末に暗号的に結び付け、盗まれたトークンを他のマシンで使えなくする技術。MFAすら素通りするクッキー・トークン窃取への直接的な対策。
問題は、普通のセッションクッキーが「ベアラートークン」であることだ。持っている者が、どこにいようとログイン済みとして扱われる。インフォスティーラーにクッキーを盗まれれば、攻撃者はそれを取り込んでセッションを乗っ取れ、パスワードもMFAも関係ない。トークンバインディングは、トークンを端末内(TPMやセキュアエンクレーブ)に安全に保管された秘密鍵と結び付け、使うたびにその端末だけが出せる証明(所有証明、proof of possession)を求める。鍵のない盗難トークンは、よそでは使えない。
現代の実装には、Google/Chromeが主導するDevice Bound Session Credentials(DBSC)や、OAuthのDPoP、mTLSバインドトークンなどがある。MFAが普及した世界でセッション窃取が最大級の脅威になったことへの答えである。