Vercel защищает аккаунты разработчиков от кражи сессий с помощью DBSC

Компания Vercel объявила о постепенном внедрении технологии Device Bound Session Credentials (DBSC) на своей платформе для защиты учетных записей разработчиков от атак с использованием стиллеров информации.

Обновление затрагивает процесс входа на сайт vercel.com, где пользователи управляют своими проектами, развертываниями и облачными приложениями.

• Внедряется технология Device Bound Session Credentials для защиты от кражи сессий.
• Приватные ключи шифрования недоступны ни для Vercel, ни для вредоносного ПО.
• Функция DBSC в настоящее время работает в браузере Chrome на macOS и Windows.
• Дополнительно для интерфейса командной строки Vercel CLI внедряется защита DPoP.

Особенности работы технологии DBSC

Главная задача Device Bound Session Credentials заключается в том, чтобы связать сессионные куки с конкретным устройством пользователя. В основе механизма лежит создание криптографической пары ключей, причем приватный ключ хранится локально на машине и защищен аппаратными средствами.

Представители компании отмечают, что приватный ключ невозможно извлечь никаким способом — ни силами самой платформы, ни злоумышленниками с помощью вредоносных программ. На данном этапе функция развертывается постепенно для пользователей браузера Google Chrome на операционных системах macOS и Windows, что позволяет разработчикам плавно обработать все пограничные случаи с OAuth-приложениями.

Дополнительные инструменты безопасности и Security Review

Параллельно с DBSC компания Vercel начала развертывание аналогичной защитной технологии под названием DPoP (Demonstrating Proof-of-Possession) для утилиты Vercel CLI. Это позволяет повысить общую безопасность взаимодействия с облачными сервисами через командную строку.

Кроме того, на этой неделе компания запустила публичную бета-версию функции Security Review для команд на тарифах Pro и Enterprise. Новый инструмент интегрирован в Vercel Agent и автоматически сканирует изменения кода при каждом пуше в связанные репозитории GitHub.

Контекст и значение для разработчиков

Новый инструмент безопасности анализирует код на предмет уязвимостей, таких как отсутствие проверок авторизации и утечки секретных данных, опираясь на заданные командой политики. При наличии соответствующих разрешений Vercel Agent способен самостоятельно подтверждать и фиксировать исправления.

Сканирование в рамках Security Review будет оставаться бесплатным до 10 ноября 2026 года, в то время как исправления, сгенерированные агентом, тарифицируются отдельно. Внутренняя команда безопасности Vercel использовала эту систему в течение последних месяцев, и теперь инструмент становится доступен широкой аудитории для предотвращения инцидентов, подобных прошлым утечкам.