Webアプリケーションのホスティングと有名なフレームワークNext.jsを専門とするVercelプラットフォームは、セッションクッキー（Session Cookies）の盗難を標的とするマルウェア攻撃から開発者のアカウントを保護するための戦略的なステップとして、Device Bound Session Credentials (DBSC)技術の導入開始を発表しました。
DBSC技術はどのように機能するのか？
VercelのCTOであるMilti Opel氏は、この新技術がログインセッションをユーザーのデバイスに直接紐付けることに依存していると説明しました。これは、デバイス内のトラステッド・プラットフォーム・モジュール（TPM）内に秘密鍵を保存することによって行われます。これは生体認証に使用されるものと同じ技術です。この鍵はセッションクッキーに署名するために使用され、攻撃者がクッキーを盗むことに成功した場合でも、秘密鍵は元のデバイス内に閉じ込められ抽出できないため、別のデバイスで使用することはできないようになっています。
ユーザーにとっての実質的な変化は何か？
このステップは、ChromeブラウザのApp-Bound Encryption技術と統合される重要なセキュリティの追加であり、マルウェアによるブラウザデータの抽出を困難にします。現在、この機能はmacOSおよびWindows上のChromeブラウザユーザーに提供されており、OAuthアプリケーションとの互換性を確保するために段階的に導入される計画です。さらに、同社は開発環境におけるセキュリティを強化するため、コマンドラインインターフェース（Vercel CLI）にDPoP技術を統合する作業を進めています。
ソフトウェアセキュリティの範囲拡大
セッションのアップデートと並行して、VercelはProおよびEnterpriseチーム向けにSecurity Review機能をパブリックベータ版としてリリースしました。この機能により、Vercel AgentはGitHubリポジトリへのすべてのプッシュ（Push）時にコードの変更を検査し、権限確認の欠如やアクセスキー（Secrets）の漏洩などの脆弱性を検出できるようになります。また、プラットフォームはエージェントが自動的な修正を提案し、それを承認できる機能を提供しており、コードセキュリティ管理におけるヒューマンエラーを削減します。
これらの改善は、昨年4月に発生した侵害を受けてプラットフォームの内部セキュリティを強化する文脈で行われています。当時、攻撃者は従業員の一人のGoogle Workspaceアカウントを通じて内部システムにアクセスすることに成功しており、これが同社に対し、開発者のデータとプロジェクトを保護するために高度なセキュリティ技術の導入を加速させる動機となりました。