Платформа Vercel, специализирующаяся на хостинге веб-приложений и известном фреймворке Next.js, объявила о начале внедрения технологии Device Bound Session Credentials (DBSC) в качестве стратегического шага для защиты аккаунтов разработчиков от атак вредоносного ПО, нацеленных на кражу файлов cookie сессии (Session Cookies).
Как работает технология DBSC?
Мальти Опл, технический директор Vercel, пояснил, что новая технология основана на прямой привязке сессии входа к устройству пользователя. Это достигается путем хранения закрытого ключа внутри доверенного платформенного модуля (TPM), установленного на устройстве — той же технологии, которая используется в биометрической аутентификации. Этот ключ используется для подписи файла cookie сессии, что гарантирует: даже если злоумышленнику удастся украсть файл cookie, он не сможет использовать его на другом устройстве, так как закрытый ключ остается заблокированным внутри исходного устройства и не может быть извлечен.
Что изменится на практике для пользователей?
Этот шаг является важным дополнением к безопасности, которое интегрируется с технологией App-Bound Encryption в браузере Chrome, что затрудняет вредоносному ПО извлечение данных браузера. В настоящее время функция доступна пользователям браузера Chrome на macOS и Windows, с планом постепенного развертывания для обеспечения совместимости с приложениями OAuth. Кроме того, компания работает над интеграцией технологии DPoP в интерфейс командной строки (Vercel CLI) для повышения безопасности в средах разработки.
Расширение масштабов программной безопасности
Параллельно с обновлениями сессий Vercel запустила функцию Security Review на стадии публичного бета-тестирования для команд Pro и Enterprise. Эта функция позволяет Vercel Agent проверять изменения программного кода при каждом пуше (Push) в репозитории GitHub, выявляя такие уязвимости, как отсутствие проверки полномочий или утечка ключей доступа (Secrets). Платформа предоставляет возможность программному агенту предлагать автоматические исправления и внедрять их, что снижает вероятность человеческих ошибок при управлении безопасностью кода.
Эти улучшения происходят в контексте усиления внутренней безопасности платформы после взлома в апреле прошлого года, когда злоумышленникам удалось получить доступ к внутренним системам через аккаунт Google Workspace одного из сотрудников, что побудило компанию ускорить внедрение передовых технологий безопасности для защиты данных разработчиков и их проектов.