Der Weg zur sicheren Authentifizierung
Das Unternehmen Vercel hat einen strategischen Plan angekündigt, der darauf abzielt, langlebige API-Schlüssel (API Keys) innerhalb seines Technologie-Ökosystems abzuschaffen. Im Rahmen dieser Richtlinie hat das Unternehmen Anbietern der Marketplace-Plattform eine Frist bis Januar 2027 eingeräumt, um das OpenID Connect (OIDC)-Protokoll zu übernehmen, das auf kurzlebigen Identitätstoken basiert. Vercel droht damit, alle Integrationen zu entfernen, die diese neuen Sicherheitsstandards nicht erfüllen.
Dieser Schritt erfolgt in einer Zeit zunehmender Angriffe auf Software-Lieferketten. Jüngste Sicherheitsvorfälle, wie der npm-Wurm, der darauf abzielte, Token aus CI-Pipelines zu stehlen, haben gezeigt, dass das Durchsickern eines einzigen Schlüssels zu katastrophalen Sicherheitsverletzungen führen kann. Der CEO von Vercel, Guillermo Rauch, unterstützt diesen Kurs und betont, dass das Ziel darin bestehe, Sicherheitstoken wie "selbstzerstörende Schlüssel" funktionieren zu lassen, die ablaufen, bevor Angreifer sie ausnutzen können.
Doppelmoral bei Deployment-Tools
Trotz dieses strengen Kurses sieht sich Vercel mit Kritik aus der Entwickler-Community konfrontiert, da die eigenen Tools weiterhin auf Praktiken setzen, die das Unternehmen eigentlich verbieten will. Der Entwickler Yordis Prieto, ein Senior Software Engineer bei Fanatics, wies darauf hin, dass die Deployment-Anleitung von Vercel für GitHub Actions Benutzer weiterhin dazu anleitet, ein statisches Geheimnis namens VERCEL_TOKEN zu verwenden.
Prieto kritisierte diese Doppelmoral und wies darauf hin, dass Vercel von seinen Partnern Sicherheitsstandards verlangt, die es in seinen eigenen Deployment-Tools noch nicht vollständig umgesetzt hat. Dies zwingt Entwickler dazu, weiterhin die langlebigen Token zu verwenden, vor denen das Unternehmen selbst warnt.
Was ändert sich in der Praxis?
- Frist: Bis zum 30. November 2026 wird Vercel Marketplace-Integrationen, die die neuen Authentifizierungsstandards nicht einhalten, als "unsicher" (Not secure) kennzeichnen.
- Umstellung auf OIDC: Das Unternehmen zielt darauf ab, statische Schlüssel durch temporäre Identitätstoken zu ersetzen, um das Risiko von Datenlecks in CI/CD-Umgebungen zu verringern.
- Vercel Connect-Dienst: Dieser Dienst bietet die Möglichkeit, zur Laufzeit Authentifizierungstoken mit begrenztem Umfang anzufordern, unterstützt jedoch weiterhin statische Schlüssel für Anbieter, die keine OAuth- oder OIDC-Optionen bereitstellen.
Vercel steht derzeit vor der technischen Herausforderung, seine Infrastruktur und Deployment-Tools so zu aktualisieren, dass sie den Standards entsprechen, die das Unternehmen anderen auferlegt. Entwickler sind weiterhin auf statische Token angewiesen, solange das Unternehmen keine vollständig unterstützte Alternative für GitHub Actions-Workflows bereitstellt.