Vercel rolls out new protection against stolen session cookie attacks

La pla­ta­for­ma en la nube Ver­cel está im­ple­men­tan­do de ma­ne­ra pro­gre­si­va las Cre­den­cia­les de Se­sión Vin­cu­la­das al Dis­po­si­ti­vo (DBSC) como me­di­da de­fen­si­va fren­te al soft­wa­re ma­li­cio­so de robo de in­for­ma­ción. Esta he­rra­mien­ta vin­cu­la la se­sión de ini­cio de se­sión con el equi­po del usua­rio me­dian­te el uso de una clave pri­va­da que se al­ma­ce­na en el mó­du­lo de pla­ta­for­ma se­gu­ra (TPM), lo que im­pi­de que las coo­kies de se­sión pue­dan ser uti­li­za­das en otro equi­po en caso de ser sus­traí­das.

Esta nueva fun­ción opera guar­dan­do una clave pri­va­da inal­can­za­ble tanto para la com­pa­ñía como para el usua­rio o los pro­gra­mas ma­li­cio­sos, la cual se em­plea para fir­mar la coo­kie. El fun­cio­na­mien­to de DBSC com­ple­men­ta la en­crip­ta­ción vin­cu­la­da a apli­ca­cio­nes de Chro­me para di­fi­cul­tar la ex­trac­ción de coo­kies por parte de los la­dro­nes de in­for­ma­ción, ope­ran­do ac­tual­men­te en el na­ve­ga­dor Chro­me para macOS y Win­dows de forma pau­la­ti­na, mien­tras que de ma­ne­ra in­de­pen­dien­te se está apli­can­do la tec­no­lo­gía DPoP para la in­ter­faz de co­man­dos de la pla­ta­for­ma.

De forma pa­ra­le­la, la com­pa­ñía ha lan­za­do una ver­sión beta pú­bli­ca de "Se­cu­rity Re­view" para equi­pos con cuen­tas Pro y En­ter­pri­se, la cual in­cor­po­ra una he­rra­mien­ta capaz de exa­mi­nar las mo­di­fi­ca­cio­nes de có­di­go en cada envío a re­po­si­to­rios de GitHub vin­cu­la­dos. Este sis­te­ma se apoya en di­rec­tri­ces del equi­po y del pro­pio có­di­go para de­tec­tar pro­ble­mas como fa­llos de au­to­ri­za­ción o se­cre­tos ex­pues­tos, pu­dien­do apli­car co­rrec­cio­nes au­to­má­ti­cas si los per­mi­sos lo per­mi­ten.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el in­ci­den­te de se­gu­ri­dad de abril más allá de lo men­cio­na­do.