A Vercel está implementando gradualmente em sua plataforma as credenciais de sessão vinculadas ao dispositivo (DBSC), uma medida de proteção contra malware infostealer.
O recurso foi anunciado no X pelo diretor de tecnologia da Vercel, Malte Ubl. Ele vincula a sessão de acesso ao dispositivo do usuário por meio de uma chave privada armazenada de forma segura no dispositivo. Assim, mesmo que o cookie de sessão seja roubado, não poderá ser reutilizado em outro dispositivo.
A Vercel é uma plataforma de cloud usada por desenvolvedores para publicar e hospedar sites, aplicações web e agentes de IA. A empresa também desenvolve o popular framework Next.js.
O anúncio mais recente diz respeito ao acesso à plataforma da Vercel em vercel.com, onde desenvolvedores gerenciam projetos e implantações.
“O DBSC funciona armazenando uma chave privada em um componente seguro do dispositivo, como o TPM, e usando essa chave para assinar o cookie”, explicou Ubl.
“A chave privada nunca mais pode ser recuperada. Nem por nós, nem por você, nem pelo malware.”
A implementação do DBSC pela Vercel também complementa o recurso Application-Bound Encryption do Chrome, que dificulta a extração de cookies do navegador por malware infostealer. O DBSC acrescenta outra camada de proteção ao impedir que cookies de sessão roubados sejam reutilizados em outros dispositivos.
Atualmente, o DBSC funciona no Chrome para macOS e Windows. A implementação está sendo feita gradualmente para garantir o tratamento adequado de casos específicos envolvendo aplicações OAuth.
Separadamente, a Vercel está implementando uma tecnologia de proteção semelhante, chamada DPoP, para a CLI da Vercel.
No início desta semana, a empresa lançou o Security Review em beta pública para equipes Pro e Enterprise. Depois de ativado, o recurso, integrado ao Vercel Agent, analisa alterações no código a cada envio para repositórios conectados do GitHub.
O sistema usa o código e as políticas definidas pelas equipes para apontar problemas, como verificações de autorização ausentes e segredos expostos.
Quando as permissões permitem, o Vercel Agent pode validar as correções e registrá-las no repositório.
A Vercel informou que as análises do Security Review serão gratuitas até 10 de novembro de 2026. As correções geradas pelo agente serão cobradas à parte.
Ubl afirmou que a equipe de segurança da Vercel começou a usar o recurso internamente há alguns meses e que ele já demonstrou seu valor. Por isso, a empresa decidiu disponibilizá-lo amplamente.
Em abril, a Vercel sofreu uma violação de segurança que afetou parte de seus clientes. Os invasores acessaram os sistemas da empresa após comprometerem a conta de Google Workspace de um funcionário da Context.ai.
Segundo a Vercel, o invasor usou esse acesso para chegar a sistemas internos e visualizar variáveis de ambiente que não haviam sido marcadas como sensíveis.
Um threat actor que se passava pelo grupo ShinyHunters tentou vender o código-fonte, as chaves de acesso e dados de bancos de dados supostamente roubados.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...