A plataforma Vercel, especializada em hospedagem de aplicações web e no popular framework Next.js, anunciou o início da implementação da tecnologia Device Bound Session Credentials (DBSC) como um passo estratégico para proteger as contas de desenvolvedores de ataques de malware que visam o roubo de cookies de sessão (Session Cookies).
Como funciona a tecnologia DBSC?
Milti Opel, CTO da Vercel, explicou que a nova tecnologia baseia-se na vinculação direta da sessão de login ao dispositivo do usuário. Isso é feito através do armazenamento de uma chave privada dentro do Módulo de Plataforma Confiável (TPM) presente no dispositivo, a mesma tecnologia utilizada na autenticação biométrica. Esta chave é usada para assinar o cookie da sessão, garantindo que, mesmo que um invasor consiga roubar o cookie, ele não poderá utilizá-lo em outro dispositivo, pois a chave privada permanece retida dentro do dispositivo original e não pode ser extraída.
O que muda na prática para os usuários?
Este passo surge como uma importante adição de segurança que se integra à tecnologia App-Bound Encryption no navegador Chrome, dificultando a extração de dados do navegador por malwares. Atualmente, o recurso está disponível para usuários do navegador Chrome nos sistemas macOS e Windows, com planos para um lançamento gradual para garantir a compatibilidade com aplicações OAuth. Além disso, a empresa está trabalhando para integrar a tecnologia DPoP na interface de linha de comando (Vercel CLI) para reforçar a segurança em ambientes de desenvolvimento.
Expandindo o escopo da segurança de software
Paralelamente às atualizações de sessão, a Vercel lançou o recurso Security Review em fase de teste público para equipes Pro e Enterprise. Este recurso permite que o Vercel Agent examine alterações de código em cada operação de push para repositórios do GitHub, monitorando vulnerabilidades como a ausência de verificação de permissões ou o vazamento de chaves de acesso (Secrets). A plataforma oferece a possibilidade de o agente de software sugerir e aprovar correções automáticas, reduzindo erros humanos na gestão da segurança do código.
Essas melhorias ocorrem no contexto do reforço da segurança interna da plataforma após sofrer uma invasão em abril passado, na qual invasores conseguiram acessar sistemas internos através de uma conta do Google Workspace de um funcionário, o que levou a empresa a acelerar a adoção de tecnologias de segurança avançadas para proteger os dados e projetos dos desenvolvedores.