सेशन कुकीज़ बहुत उपयोगी उपकरण हैं, क्योंकि वे किसी वेबसाइट को यह पहचानने में सक्षम बनाते हैं कि कई अनुरोध एक ही कंप्यूटर से आ रहे हैं, जिससे उपयोगकर्ता प्रमाणित रहता है। हालांकि, इस सुविधा में एक जोखिम भी शामिल है, क्योंकि साइबर अपराधी अक्सर सेशन कुकीज़ का फायदा उठाकर खातों पर कब्ज़ा करने की कोशिश करते हैं।
इस खतरे के जवाब में, गूगल ने क्रोम में एक सुरक्षा उपाय पेश किया है जिसे ऐसी दुर्भावनापूर्ण कार्रवाइयों को रोकने के लिए डिज़ाइन किया गया है। इस नई सुविधा को 'डिवाइस बाउंड सेशन क्रेडेंशियल्स' (Device Bound Session Credentials - DBSC) कहा जाता है, जिसका शाब्दिक अनुवाद 'डिवाइस से जुड़े सेशन क्रेडेंशियल्स' किया जा सकता है।
कार्यप्रणाली तब शुरू होती है जब कोई उपयोगकर्ता एक संगत वेबसाइट तक पहुंचता है और वह एक सेशन कुकी उत्पन्न करती है; उस समय, ब्राउज़र क्रिप्टोग्राफ़िक कुंजी का एक अनूठा जोड़ा बनाता है। इस जोड़े की निजी कुंजी को फिर उपयोगकर्ता के कंप्यूटर के सुरक्षा चिप में संग्रहीत किया जाता है, विशेष रूप से विंडोज मशीनों पर TPM चिप या मैक पर सिक्योर एनक्लेव में।
यह उपाय महत्वपूर्ण सुरक्षा प्रदान करता है: यदि कोई हैकर किसी भी तरीके से, जैसे मैलवेयर के माध्यम से, सेशन कुकी प्राप्त कर लेता है और खाते में घुसने के लिए उसे दूसरे कंप्यूटर पर उपयोग करने का प्रयास करता है, तो एक्सेस अस्वीकार कर दिया जाएगा। ऐसा इसलिए होता है क्योंकि कुकी प्राप्त करने वाली मशीन के पास DBSC द्वारा उत्पन्न क्रिप्टोग्राफ़िक कुंजी नहीं होती है।
इसके पीछे का तर्क यह है कि उत्पन्न जोड़े की सार्वजनिक कुंजी वेब सर्वर पर बनी रहती है। जब इन सर्वरों तक पहुंच का अनुरोध किया जाता है, तो वे सेशन कुकी को मान्य करते हैं और प्रमाणीकरण चुनौती भेजते हैं। केवल निजी कुंजी, जो TPM या सिक्योर एनक्लेव में संग्रहीत होती है, ही इस चुनौती का उत्तर हस्ताक्षरित कर सकती है, जिससे घुसपैठिए द्वारा अनुचित पहुंच रुक जाती है।
हालांकि TPM या सिक्योर एनक्लेव का उल्लंघन सैद्धांतिक रूप से संभव है, इन चिप्स को 'हमले प्रतिरोधी' होने के लिए डिज़ाइन किया गया है, जो क्रिप्टोग्राफ़िक कुंजी को पकड़ने के जोखिम को अत्यंत कम बना देता है।
यह ध्यान रखना महत्वपूर्ण है कि इस सुरक्षा के लिए विंडोज सिस्टम पर क्रोम संस्करण 146 या उससे ऊपर का उपयोग आवश्यक है। मैक के लिए, DBSC समर्थन पहले ही उपलब्ध है, जैसा कि Ars Technica द्वारा रिपोर्ट किया गया है। हालांकि, लिनक्स के लिए उपलब्धता की आधिकारिक पुष्टि अभी तक नहीं हुई है, हालांकि इस प्रणाली के लिए क्रोमियम कोड में तकनीक का कार्यान्वयन मौजूद है, जो अभी परीक्षण चरण में है।
गूगल ने एक नई सुविधा की घोषणा की है जो आर्टिफिशियल इंटेलिजेंस असिस्टेंट जेमिनी स्पार्क को क्रोम ब्राउज़र से जोड़ती है। यह एकीकरण एआई को सीधे इंटरनेट पर गतिविधियाँ करने में सक्षम बनाता है, जिसमें उपयोगकर्ता द्वारा सिस्टम में पहले से लॉग इन किए गए खातों का उपयोग किया जाता है।
कंपनी के अनुसार, यह सुविधा असिस्टेंट को नियमित कार्यों, जैसे उड़ान विकल्पों की खोज करना और बुकिंग प्रक्रिया शुरू करना, को पूरा करने के लिए सक्रिय क्रेडेंशियल्स और ब्राउज़र में सहेजे गए पासवर्ड का उपयोग करने की अनुमति देती है।
इस नई सुविधा का वितरण संयुक्त राज्य अमेरिका में शुरू हुआ था और बाद में अन्य देशों में विस्तारित होने की उम्मीद है।
क्रोम में शामिल होने के साथ, जेमिनी स्पार्क उपयोगकर्ता द्वारा एक्सेस की जाने वाली वेबसाइटों के साथ सीधे इंटरैक्ट करता है। गूगल आश्वासन देता है कि एआई कुछ कार्यों को करने के लिए ब्राउज़र में संग्रहीत क्रेडेंशियल्स का उपयोग कर पाएगा, बिना उपयोगकर्ता को प्रक्रिया के दौरान नया लॉगिन करने के लिए मजबूर किए।
कंपनी द्वारा बताए गए उदाहरणों में हवाई टिकटों की खोज, उड़ान बुकिंग शुरू करना और संपत्तियों के दौरे का समय निर्धारित करना शामिल है। हालांकि, अभी तक, गूगल ने उन अन्य कार्यों को निर्दिष्ट नहीं किया है जिन्हें असिस्टेंट निभा सकता है।
चूंकि जेमिनी स्पार्क कनेक्टेड खातों और क्रोम में संग्रहीत पासवर्ड तक पहुंच रखेगा, गूगल ने किसी भी दुरुपयोग को रोकने के लिए मजबूत सुरक्षा तंत्र के कार्यान्वयन पर जोर दिया है। इस प्लेटफॉर्म को प्रॉम्प्ट इंजेक्शन (prompt injection) नामक ज्ञात हमलों का विरोध करने के लिए डिज़ाइन किया गया है।
इन हमलों में, उपयोगकर्ता द्वारा उत्पन्न सामग्री या दुर्भावनापूर्ण वेबसाइटों पर छिपाए गए कमांड आर्टिफिशियल इंटेलिजेंस को हेरफेर करने की कोशिश करते हैं ताकि वह अवांछित कार्य करे। ऐसे आक्रमण एआई को वित्तीय लेनदेन शुरू करने या उपयोगकर्ता के गोपनीय डेटा को लीक करने के लिए प्रेरित कर सकते हैं। हालांकि, गूगल ने इन सुरक्षा उपायों के बारे में तकनीकी विवरण जारी करने से परहेज किया है।
कंपनी ने सूचित किया है कि वह बहु-स्तरीय रक्षा दृष्टिकोण अपना रही है, जिसमें इस प्रकार के हमले को कठिन और महंगा बनाने के लिए नियतात्मक और संभाव्य दोनों तरीकों का संयोजन किया गया है। ब्राउज़र तक पहुंच होने के बावजूद, जेमिनी स्पार्क के पास भुगतान को अंतिम रूप देने की स्वायत्तता नहीं है। गूगल ने स्पष्ट किया कि जब भी खरीद को पूरा करने की आवश्यकता होगी, तो कार्य को लेनदेन पूरा होने से पहले उपयोगकर्ता के विश्लेषण और अनुमोदन के लिए वापस कर दिया जाएगा।
नई सुविधा को शुरू में संयुक्त राज्य अमेरिका में लॉन्च किया गया था। इसके अतिरिक्त, गूगल ने 160 से अधिक देशों में गूगल एआई प्रो प्लान के ग्राहकों के लिए जेमिनी स्पार्क की उपलब्धता का विस्तार किया है। असिस्टेंट गूगल वर्कस्पेस ऐप्स के साथ भी एकीकरण प्रदान करता है।
