Привязка токена (token binding)
Криптографическая привязка сессионного токена (или cookie) к конкретному устройству, на котором он выдан, — так что украденный токен на другой машине бесполезен.
Обычная сессионная cookie — «предъявительский токен»: кто ею владеет, тот и вошёл, где бы ни находился. Если инфостилер украл cookie, злоумышленник импортирует её и перехватывает сессию, минуя пароль и MFA. Привязка токена решает проблему: токен связывается с закрытым ключом, надёжно хранящимся на вашем устройстве (в TPM или защищённом анклаве), и каждое использование требует доказательства владения («proof of possession»), которое может дать только это устройство, — украденный токен без ключа в другом месте не работает. Современные воплощения: Device Bound Session Credentials (DBSC, продвигается Google/Chrome), а в OAuth — DPoP и токены, привязанные к mTLS. Это ответ на то, что кража сессий стала одной из главных угроз в мире с MFA.