Vercel wiąże sesję logowania z TPM, skradzione ciasteczko nie zadziała gdzie indziej

Vercel stopniowo włącza Device Bound Session Credentials (DBSC) przy logowaniu do vercel.com. Sesja jest związana z kluczem prywatnym zapisanym w module TPM urządzenia, więc skradzionego ciasteczka sesji nie da się użyć na innym komputerze. Zmianę ogłosił na X dyrektor techniczny firmy Malte Ubl. Klucz podpisuje ciasteczko i według Ubla nie odczyta go ani firma, ani użytkownik, ani złośliwe oprogramowanie. DBSC uzupełnia App-Bound Encryption w Chrome, które utrudnia programom typu infostealer wyciąganie ciasteczek z przeglądarki. Podobną ochronę, DPoP, Vercel wdraża w narzędziu Vercel CLI. W tym tygodniu firma uruchomiła też publiczną betę Security Review dla zespołów Pro i Enterprise, która sprawdza zmiany kodu przy każdym pushu do połączonego repozytorium GitHub.

Kogo dotyczy

Zmiana obejmuje osoby logujące się do panelu vercel.com, w którym programiści zarządzają projektami i wdrożeniami stron oraz aplikacji. Na razie DBSC działa w Chrome na Windows i macOS, a wdrażanie przebiega etapami, żeby dopracować przypadki związane z aplikacjami OAuth.