Vercel blochează furtul de cookie-uri cu sesiuni legate de dispozitiv

Cum oprește legarea de dispozitiv atacurile de repetiție?

Vercel lansează credentiale de sesiune legate de dispozitiv (DBSC) pe toată platforma. Scopul e clar: să oprească malware-ul de tip info-stealer.

Fiecare sesiune de login e legată de un dispozitiv specific. Cheia privată stă în TPM-ul dispozitivului. Chiar dacă un atacator fură cookie-ul de sesiune, nu-l poate folosi pe altă mașină.

Implementarea se face treptat.

Anunțul a venit de la Malte Ubl, CTO la Vercel, pe X. El descrie DBSC ca un strat critic de apărare.

Cookie-urile de sesiune tradiționale se copiază și se repete ușor. Atacatorii folosesc aceste cookie-uri furate pentru a prelua conturi. DBSC împiedică asta cerând cheia privată din hardware pentru validare.

asta pentru dezvoltatorii web? Mecanismul e simplu. Când un utilizator se autentifică, sistemul generează o sesiune legată de TPM-ul lui.

TPM-ul ține o cheie privată care nu părăsește niciodată hardware-ul. Dacă un cookie e furat, atacatorul nu are cheia privată corespunzătoare. Orice cerere de pe alt dispozitiv eșuează la autentificare.

Asta rupe lanțul de atac folosit de info-stealer-ele.

DBSC oprește atacurile de repetiție acum!

Dezvoltatorii care construiesc pe Vercel câștigă un strat suplimentar de securitate fără să schimbe codul. Platforma gestionează legarea automat.

Asta reduce povara pe proiectele individuale. Protejează și împotriva unei game largi de amenințări. De la extensii de browser la scripturi malițioase, orice instrument care copiază cookie-uri se lovește de o barieră de hardware.

Implementarea treptată înseamnă că unii utilizatori o văd mai devreme, alții primesc actualizarea în săptămânile care vin.

Se vor rupe sesiunile mele existente în timpul implementării? Nu.

Vercel implementează DBSC treptat. Sesiunile existente rămân valide până când expiră natural. Noile autentificări vor folosi metoda legată de dispozitiv.

Are DBSC nevoie de un browser sau OS specific? Funcția se bazează pe hardware TPM.

Majoritatea dispozitivelor moderne au TPM. Nu e nevoie de un browser special. Platforma gestionează integrarea.

Pot atacatorii totuși să fure cookie-uri? Pot totuși să copieze valoarea cookie-ului. Dar fără cheia privată a dispozitivului, cookie-ul e inutil pe altă mașină. Asta neutralizează vectorul principal de atac.