La plateforme Vercel, spécialisée dans l'hébergement d'applications web et le framework populaire Next.js, a annoncé le déploiement progressif de la technologie Device Bound Session Credentials (DBSC) comme mesure stratégique pour protéger les comptes des développeurs contre les attaques de logiciels malveillants ciblant le vol de cookies de session.
Comment fonctionne la technologie DBSC ?
Malte Uubel, directeur technique chez Vercel, a expliqué que la nouvelle technologie repose sur l'association directe de la session de connexion à l'appareil de l'utilisateur. Cela est réalisé en stockant une clé privée dans le module de plateforme sécurisée (TPM) présent sur l'appareil, qui est la même technologie utilisée pour l'authentification biométrique. Cette clé est utilisée pour signer le cookie de session, garantissant que même si un attaquant parvient à voler le cookie, il ne pourra pas l'utiliser sur un autre appareil, la clé privée restant enfermée dans l'appareil d'origine et impossible à extraire.
Qu'est-ce qui change concrètement pour les utilisateurs ?
Cette initiative constitue un ajout de sécurité important qui s'intègre à la technologie App-Bound Encryption du navigateur Chrome, rendant plus difficile pour les logiciels malveillants l'extraction des données du navigateur. Actuellement, la fonctionnalité est disponible pour les utilisateurs du navigateur Chrome sous macOS et Windows, avec un plan de déploiement progressif pour assurer la compatibilité avec les applications OAuth. De plus, l'entreprise travaille à l'intégration de la technologie DPoP dans l'interface en ligne de commande (Vercel CLI) afin de renforcer la sécurité dans les environnements de développement.
Élargissement de la portée de la sécurité logicielle
Parallèlement aux mises à jour des sessions, Vercel a lancé la fonctionnalité Security Review en version bêta publique pour les équipes Pro et Enterprise. Cette fonctionnalité permet au Vercel Agent d'analyser les modifications de code à chaque envoi (Push) vers les dépôts GitHub, en détectant les vulnérabilités telles que l'absence de contrôle d'accès ou la fuite de clés d'accès (Secrets). La plateforme offre également la possibilité à l'agent logiciel de proposer et d'adopter des corrections automatiques, réduisant ainsi les erreurs humaines dans la gestion de la sécurité du code.
Ces améliorations s'inscrivent dans le cadre du renforcement de la sécurité interne de la plateforme suite à une intrusion subie en avril dernier, au cours de laquelle des attaquants ont eu accès à des systèmes internes via le compte Google Workspace d'un employé, incitant l'entreprise à accélérer l'adoption de technologies de sécurité avancées pour protéger les données et les projets des développeurs.