La plataforma Vercel, especializada en el alojamiento de aplicaciones web y el popular framework Next.js, ha anunciado el inicio del despliegue de la tecnología Device Bound Session Credentials (DBSC) como un paso estratégico para proteger las cuentas de los desarrolladores contra ataques de malware dirigidos al robo de cookies de sesión (Session Cookies).
¿Cómo funciona la tecnología DBSC?
Malte Ubl, director de tecnología de Vercel, explicó que la nueva tecnología se basa en vincular directamente la sesión de inicio de sesión con el dispositivo del usuario. Esto se logra mediante el almacenamiento de una clave privada dentro del Módulo de Plataforma Confiable (TPM) presente en el dispositivo, la misma tecnología utilizada en la autenticación biométrica. Esta clave se utiliza para firmar la cookie de sesión, lo que garantiza que, incluso si un atacante logra robar la cookie, no podrá usarla en otro dispositivo, ya que la clave privada permanece encerrada dentro del dispositivo original y no se puede extraer.
¿Qué cambia prácticamente para los usuarios?
Este paso llega como una importante adición de seguridad que se integra con la tecnología App-Bound Encryption en el navegador Chrome, lo que dificulta que el malware extraiga los datos del navegador. Actualmente, la función está disponible para los usuarios del navegador Chrome en sistemas macOS yWindows, con un plan de despliegue gradual para garantizar la compatibilidad con las aplicaciones OAuth. Además, la empresa está trabajando en la integración de la tecnología DPoP en la interfaz de línea de comandos (Vercel CLI) para mejorar la seguridad en los entornos de desarrollo.
Ampliación del alcance de la seguridad del software
Paralelamente a las actualizaciones de sesión, Vercel ha lanzado la función Security Review en fase de prueba pública para los equipos de los planes Pro y Enterprise. Esta función permite que Vercel Agent escanee los cambios en el código en cada envío (Push) a los repositorios de GitHub, detectando vulnerabilidades como la falta de control de acceso o la filtración de claves de acceso (Secrets). La plataforma ofrece la capacidad de que el agente de software sugiera correcciones automáticas y las apruebe, lo que reduce el error humano en la gestión de la seguridad del código.
Estas mejoras se producen en el contexto del fortalecimiento de la seguridad interna de la plataforma tras sufrir una violación el pasado mes de abril, cuando los atacantes lograron acceder a los sistemas internos a través de la cuenta de Google Workspace de un empleado, lo que llevó a la empresa a acelerar la adopción de tecnologías de seguridad avanzadas para proteger los datos de los desarrolladores y sus proyectos.