Vercel führt schrittweise Device Bound Session Credentials (DBSC) ein, einen neuen Schutzmechanismus, der verhindern soll, dass gestohlene Sitzungscookies auf einem anderen Gerät verwendet werden. Die Funktion gilt für Logins bei vercel.com, wo Entwickler Projekte und Deployments auf der Plattform verwalten.
Vercel-CTO Malte Ubl kündigte die Einführung auf X an. Er sagte, DBSC verknüpfe eine Login-Sitzung mit einem privaten Schlüssel, der im Trusted Platform Module (TPM) des Geräts gespeichert ist. Der Schlüssel signiere das Sitzungscookie und könne nicht ausgelesen werden, so Ubl. Daher könne ein gestohlenes Cookie allein andernorts nicht erneut verwendet werden.
Die Maßnahme ergänzt Chromes App-Bound Encryption, die es Malware zum Ausspähen von Informationen erschwert, Browser-Cookies abzugreifen. DBSC bietet zusätzlichen Schutz davor, ein Cookie nach dessen Diebstahl zu verwenden. Derzeit funktioniert die Technik in Chrome unter macOS und Windows. Mit der schrittweisen Einführung sollen Sonderfälle im Zusammenhang mit OAuth-Apps berücksichtigt werden. Vercel führt für seine CLI außerdem eine ähnliche Technologie namens DPoP ein.
Unabhängig davon hat Vercel kürzlich Security Review in einer öffentlichen Betaversion für Pro- und Enterprise-Teams gestartet. Ist die Funktion aktiviert, überprüft der Vercel Agent Änderungen, die in verbundene GitHub-Repositories übertragen werden, und nutzt den Code sowie vom Team festgelegte Richtlinien, um Probleme wie fehlende Autorisierungsprüfungen oder offengelegte Geheimnisse zu melden. Wird dem Agenten die Berechtigung erteilt, kann er Korrekturen überprüfen und committen. Scans sind bis zum 10. November 2026 kostenlos; vom Agenten erstellte Korrekturen werden separat abgerechnet.
Quellen: BleepingComputer.