Die Plattform Vercel, spezialisiert auf das Hosting von Webanwendungen und das bekannte Framework Next.js, hat den Beginn der Einführung der Device Bound Session Credentials (DBSC)-Technologie angekündigt. Dies ist ein strategischer Schritt, um Entwicklerkonten vor Malware-Angriffen zu schützen, die auf den Diebstahl von Session-Cookies abzielen.
Wie funktioniert die DBSC-Technologie?
Malte Opel, CTO bei Vercel, erklärte, dass die neue Technologie darauf basiert, die Login-Sitzung direkt an das Gerät des Benutzers zu binden. Dies geschieht durch das Speichern eines privaten Schlüssels innerhalb des Trusted Platform Module (TPM) des Geräts, derselben Technologie, die auch bei der biometrischen Authentifizierung verwendet wird. Dieser Schlüssel wird verwendet, um das Session-Cookie zu signieren. Dies stellt sicher, dass ein Angreifer das Cookie selbst dann nicht auf einem anderen Gerät verwenden kann, wenn es ihm gelingt, es zu stehlen, da der private Schlüssel im ursprünglichen Gerät eingeschlossen bleibt und nicht extrahiert werden kann.
Was ändert sich praktisch für die Nutzer?
Dieser Schritt ist eine wichtige Sicherheitsergänzung, die mit der App-Bound Encryption-Technologie im Chrome-Browser integriert wird, was es Malware erschwert, Browserdaten zu extrahieren. Derzeit ist die Funktion für Chrome-Nutzer auf macOS und Windows verfügbar, mit einem Plan für eine schrittweise Einführung, um die Kompatibilität mit OAuth-Anwendungen zu gewährleisten. Darüber hinaus arbeitet das Unternehmen daran, die DPoP-Technologie in das Command Line Interface (Vercel CLI) zu integrieren, um die Sicherheit in Entwicklungsumgebungen zu erhöhen.
Erweiterung des Software-Sicherheitsumfangs
Parallel zu den Sitzungs-Updates hat Vercel die Funktion Security Review in einer öffentlichen Beta-Phase für Pro- und Enterprise-Teams eingeführt. Diese Funktion ermöglicht es dem Vercel Agent, Codeänderungen bei jedem Push in GitHub-Repositories zu prüfen, wobei er Schwachstellen wie fehlende Berechtigungsprüfungen oder das Durchsickern von Zugangsdaten (Secrets) erkennt. Die Plattform bietet die Möglichkeit, dass der Software-Agent automatische Korrekturen vorschlägt und diese übernimmt, was menschliche Fehler bei der Verwaltung der Codesicherheit reduziert.
Diese Verbesserungen erfolgen im Rahmen der Stärkung der internen Sicherheit der Plattform nach einem Sicherheitsvorfall im vergangenen April, bei dem es Angreifern gelang, über das Google Workspace-Konto eines Mitarbeiters auf interne Systeme zuzugreifen. Dies veranlasste das Unternehmen, die Einführung fortschrittlicher Sicherheitstechnologien zu beschleunigen, um die Daten der Entwickler und deren Projekte zu schützen.