Web uygulamaları barındırma ve popüler Next.js framework'ü konusunda uzmanlaşmış olan Vercel platformu, geliştirici hesaplarını oturum çerezlerini (Session Cookies) çalmayı hedefleyen kötü amaçlı yazılım saldırılarından korumak için stratejik bir adım olarak Device Bound Session Credentials (DBSC) teknolojisini sunmaya başladığını duyurdu.
DBSC teknolojisi nasıl çalışır?
Vercel'in CTO'su Malte Ubl, yeni teknolojinin oturum açma oturumunu doğrudan kullanıcının cihazına bağlamaya dayandığını açıkladı. Bu, cihazda bulunan ve biyometrik kimlik doğrulamada kullanılan teknolojiyle aynı olan Güvenilir Platform Modülü (TPM) içinde bir özel anahtar depolanarak gerçekleştirilir. Bu anahtar, oturum çerezini imzalamak için kullanılır; bu da bir saldırganın çerezi çalmayı başarsa bile, özel anahtar orijinal cihazın içinde kilitli kaldığı ve dışarı çıkarılamadığı için başka bir cihazda kullanamayacağını garanti eder.
Kullanıcılar için pratikte ne değişiyor?
Bu adım, Chrome tarayıcısındaki App-Bound Encryption teknolojisi ile entegre olan önemli bir güvenlik eklentisi olarak geliyor ve kötü amaçlı yazılımların tarayıcı verilerini çıkarmasını zorlaştırıyor. Şu anda özellik, macOS ve Windows sistemlerindeki Chrome kullanıcıları için mevcuttur ve OAuth uygulamalarıyla uyumluluğu sağlamak için kademeli olarak sunulması planlanmaktadır. Ayrıca şirket, geliştirme ortamlarında güvenliği artırmak için DPoP teknolojisini komut satırı arayüzüne (Vercel CLI) entegre etmek için çalışmaktadır.
Yazılım güvenliğinin kapsamını genişletmek
Oturum güncellemelerine paralel olarak Vercel, Pro ve Enterprise ekipleri için genel beta aşamasında Security Review özelliğini başlattı. Bu özellik, Vercel Agent'ın GitHub depolarına yapılan her push işleminde kod değişikliklerini incelemesine olanak tanır; böylece yetkilendirme kontrolünün eksikliği veya erişim anahtarlarının (Secrets) sızdırılması gibi güvenlik açıklarını tespit eder. Platform, yazılım aracısının otomatik düzeltmeler önermesine ve bunları onaylamasına olanak tanıyarak kod güvenliği yönetimindeki insan hatalarını azaltır.
Bu iyileştirmeler, platformun geçtiğimiz Nisan ayında yaşadığı bir ihlalden sonra iç güvenliğini artırma çabaları kapsamında geliyor. Söz konusu ihlalde saldırganlar, bir çalışanın Google Workspace hesabı üzerinden iç sistemlere erişim sağlamıştı; bu durum şirketi, geliştiricilerin verilerini ve projelerini korumak için gelişmiş güvenlik teknolojilerini benimseme hızını artırmaya itti.