专注于 Web 应用托管和知名框架 Next.js 的平台 Vercel 宣布开始推出 Device Bound Session Credentials (DBSC) 技术，作为保护开发人员账户免受旨在窃取会话 Cookie (Session Cookies) 的恶意软件攻击的战略举措。
DBSC 技术如何工作？
Vercel 技术总监 Malte Opul 解释说，这项新技术依赖于将登录会话直接与用户设备绑定。这是通过将私钥存储在设备中的可信平台模块 (TPM) 内实现的，该技术与生物识别身份验证所使用的技术相同。该密钥用于对会话 Cookie 进行签名，从而确保即使攻击者成功窃取了 Cookie，也无法在其他设备上使用，因为私钥仍被锁定在原始设备中且无法被提取。
对用户而言，实际会有哪些变化？
此举是一项重要的安全增强功能，它与 Chrome 浏览器中的 App-Bound Encryption 技术相结合，使恶意软件难以提取浏览器数据。目前，该功能已面向 macOS 和 Windows 系统上的 Chrome 浏览器用户提供，并计划逐步推出以确保与 OAuth 应用的兼容性。此外，公司正在致力于将 DPoP 技术集成到命令行界面 (Vercel CLI) 中，以增强开发环境中的安全性。
扩展软件安全范围
在更新会话的同时，Vercel 还面向 Pro 和 Enterprise 团队推出了处于公开测试阶段的 Security Review 功能。该功能允许 Vercel Agent 在每次向 GitHub 仓库进行推送 (Push) 时检查代码更改，从而监测诸如权限验证缺失或访问密钥 (Secrets) 泄露等漏洞。该平台还允许编程代理建议并采用自动修复方案，从而减少代码安全管理中的人为错误。
这些改进是在平台加强内部安全性背景下进行的，此前该平台在去年 4 月遭遇了入侵，攻击者通过一名员工的 Google Workspace 账户访问了内部系统，这促使公司加快采用先进安全技术的步伐，以保护开发人员的数据及其项目。