Vercel تطلق Device Bound Session Credentials لمكافحة سرقة ملفات تعريف ارتباط الجلسات
تطرح Vercel ميزة Device Bound Session Credentials (DBSC) كدفاع رئيسي ضد برامج سرقة المعلومات. تربط هذه الميزة جلسة تسجيل الدخول بجهاز المستخدم باستخدام مفتاح خاص مخزّن في TPM، ما يضمن أنه حتى لو سُرّق ملف تعريف ارتباط الجلسة، فلا يمكن إعادة استخدامه على جهاز آخر.
أعلن Malte Ubl، المدير التقني في Vercel، عن الميزة الجديدة على منصة X، مؤكداً أن المفتاح الخاص مخزّن بأمان ولا يمكن لأي أحد استرجاعه، بما في ذلك Vercel أو المستخدم. تعزز هذه الآلية أمان تسجيل الدخول إلى منصة Vercel على vercel.com، حيث يدير المطورون مشاريعهم وعمليات النشر الخاصة بهم.
تكمّل DBSC ميزة App-Bound Encryption في Chrome، التي تهدف إلى منع برامج سرقة المعلومات من استخراج ملفات تعريف ارتباط المتصفح. وبمنع إعادة استخدام ملفات تعريف ارتباط الجلسات المسروقة على أجهزة مختلفة، تضيف DBSC طبقة أمان إضافية.
الميزة متوافقة حالياً مع Chrome على macOS وWindows، ويجري طرحها تدريجياً لمعالجة الحالات الطرفية المحتملة المتعلقة بتطبيقات OAuth. بالإضافة إلى ذلك، تقدم Vercel تقنية حماية مماثلة تُسمى DPoP لأداة Vercel CLI.
إطلاق Security Review
أطلقت Vercel في وقت سابق من هذا الأسبوع ميزة Security Review في نسخة تجريبية عامة لفرق Pro وEnterprise. تفحص هذه الميزة، وهي جزء من Vercel Agent، تغييرات الشيفرة عند كل عملية push إلى مستودعات GitHub المتصلة بمجرد تفعيلها. وتستخدم الشيفرة والسياسات التي يحددها الفريق لتحديد مشكلات مثل غياب فحوصات التفويض وكشف الأسرار.
إذا سمحت الأذونات، يمكن لـ Vercel Agent التحقق من الإصلاحات وتثبيتها تلقائياً. أعلنت Vercel أن عمليات الفحص في Security Review ستكون مجانية حتى 10 نوفمبر 2026، بينما ستترتب على الإصلاحات التي يولّدها الوكيل رسوم منفصلة.
ذكر Ubl أن فريق الأمان نشر هذه الميزة داخلياً قبل بضعة أشهر، وأن فعاليتها دفعت إلى قرار إتاحتها على نطاق واسع.
في أبريل، تعرضت Vercel لاختراق أمني أثر على مجموعة فرعية من العملاء. تمكن المهاجمون من الوصول إلى أنظمتها عبر اختراق حساب Google Workspace لأحد الموظفين، ما سمح لهم بعرض الأنظمة الداخلية ومتغيرات البيئة التي لم تكن مصنفة كحساسة. حاول جهة تهديد انتحلت شخصية ShinyHunters بيع الشيفرة المصدرية ومفاتيح الوصول وبيانات قاعدة البيانات المسروقة المزعومة.
المصدر: BleepingComputer