Vercel sta distribuendo gradualmente le Device Bound Session Credentials (DBSC), una nuova protezione pensata per impedire che i cookie di sessione rubati vengano usati su un altro dispositivo. La funzionalità si applica agli accessi a vercel.com, dove gli sviluppatori gestiscono i progetti e le distribuzioni sulla piattaforma.
Il CTO di Vercel, Malte Ubl, ha annunciato la distribuzione su X. Ha spiegato che DBSC collega una sessione di accesso a una chiave privata conservata nel Trusted Platform Module (TPM) del dispositivo. Secondo Ubl, la chiave firma il cookie di sessione e non può essere estratta; pertanto, un cookie rubato da solo non può essere riutilizzato altrove.
La misura affianca la App-Bound Encryption di Chrome, che rende più difficile per i malware che sottraggono informazioni estrarre i cookie del browser. DBSC offre una protezione aggiuntiva contro l’uso di un cookie dopo che è stato rubato. Al momento funziona in Chrome su macOS e Windows; la distribuzione graduale mira a gestire i casi limite che coinvolgono le app OAuth. Vercel sta inoltre distribuendo una tecnologia simile, DPoP, per la propria CLI.
Separatamente, Vercel ha recentemente lanciato Security Review in beta pubblica per i team Pro ed Enterprise. Una volta attivato, Vercel Agent esamina le modifiche inviate ai repository GitHub collegati e utilizza il codice e le policy definite dal team per segnalare problemi come controlli di autorizzazione mancanti o segreti esposti. Se gli viene concessa l’autorizzazione, l’agente può convalidare e applicare le correzioni. Le scansioni sono gratuite fino al 10 novembre 2026; le correzioni generate dall’agente vengono fatturate separatamente.
Fonti: BleepingComputer.