امنیت Vercel با محافظت از کوکی‌های نشست تقویت شد

امنیت Vercel با عرضه تدریجی قابلیت Device Bound Session Credentials یا DBSC تقویت می‌شود. این قابلیت برای مقابله با بدافزارهای سرقت‌کننده اطلاعات طراحی شده و کوکی نشست ورود به vercel.com را به دستگاه کاربر گره می‌زند؛ بنابراین کوکی سرقت‌شده روی دستگاهی دیگر قابل استفاده نخواهد بود.

DBSC یک کلید خصوصی را در TPM دستگاه ذخیره می‌کند و از آن برای امضای کوکی استفاده می‌شود. به گفته مالته اوبل، مدیر ارشد فناوری Vercel، این کلید خصوصی دیگر قابل بازیابی نیست؛ نه برای Vercel، نه کاربر و نه بدافزار. این لایه امنیتی در کنار App-Bound Encryption کروم، استخراج و سوءاستفاده از کوکی‌های مرورگر را دشوارتر می‌کند.

این قابلیت فعلاً در کروم روی macOS و ویندوز کار می‌کند و انتشار آن تدریجی است تا موارد خاص مربوط به اپ‌های OAuth درست مدیریت شوند. Vercel همچنین فناوری مشابهی با نام DPoP را برای رابط خط فرمان خود عرضه می‌کند؛ اقدامی مهم برای توسعه‌دهندگانی که پروژه‌ها و استقرارهایشان را در این پلتفرم مدیریت می‌کنند.

Vercel هم‌زمان نسخه بتای عمومی Security Review را برای تیم‌های Pro و Enterprise فعال کرده است. این ابزار، تغییرات کد در مخزن‌های متصل به GitHub را در هر پوش بررسی می‌کند و مواردی مانند نبود کنترل مجوز یا افشای رازها را گزارش می‌دهد. در صورت داشتن مجوز، Vercel Agent می‌تواند اصلاحات را تأیید و ثبت کند؛ موضوعی مرتبط با روندهای توسعه امن در GitHub Actions نیز هست.

منبع: BleepingComputer