Vercel запроваджує захист від повторного використання викрадених cookie
Vercel поступово впроваджує DBSC, що прив’язує сесійні cookie до пристрою та ускладнює їх повторне використання після викрадення.
Платформа Vercel поступово впроваджує механізм Device Bound Session Credentials (DBSC), покликаний захистити облікові записи від повторного використання викрадених сесійних cookie на іншому пристрої. Нововведення стосується входу на vercel.com, де розробники керують проєктами та розгортаннями, повідомляє BBC News.
Прив’язка сесії до пристрою
DBSC зберігає приватний ключ у TPM пристрою та використовує його для підписування cookie. За даними технічного директора Vercel Мальте Убри, цей приватний ключ неможливо отримати ані компанії, ані користувачеві, ані шкідливому програмному забезпеченню. Таким чином, навіть викрадений cookie не можна використати для входу з іншого пристрою.
Функція має стати додатковим рівнем захисту від програм-викрадачів інформації. Вона доповнює App-Bound Encryption у браузері Chrome, що ускладнює для такого шкідливого ПЗ вилучення браузерних cookie. Наразі DBSC працює в Chrome на macOS і Windows. Vercel впроваджує її поступово, щоб належно опрацювати граничні випадки, пов’язані із застосунками OAuth.
Інструменти безпеки для розробників
Окремо Vercel розгортає схожу технологію DPoP для свого інструмента командного рядка Vercel CLI. Компанія також запустила у публічній бета-версії функцію Security Review для команд тарифів Pro та Enterprise.
Security Review є функцією Vercel Agent, яка після активації перевіряє зміни коду під час кожного надсилання до підключених репозиторіїв GitHub. Система застосовує правила для коду та політики, визначені командою, щоб виявляти, зокрема, відсутні перевірки авторизації та відкриті секрети. Якщо дозволи це передбачають, Vercel Agent може перевірити й зафіксувати виправлення. Сканування Security Review буде безплатним до 10 листопада 2026 року, а виправлення, згенеровані агентом, оплачуватимуться окремо.
