#网站应用 知名云开发平台 Vercel 宣布率先采用 Chrome 浏览器 DBSC 设备会话绑定保护机制，即扩展程序盗取 Cookie 后也无法在其他设备登录。该技术已经在 Chrome 中正式上线，Chrome 通过为凭证签发基于设备的密钥进行认证，因此凭证被转移到其他设备时会因为密钥不匹配而无法复用。DBSC 机制需要网站进行适配，目前 Vercel 在 Vercel.com 上率先支持该技术。查看全文：https://ourl.co/128119
业界知名的云开发平台 Vercel 日前宣布将为该平台的登录会话逐步启用设备绑定会话凭证 (DBSC)，该技术将登录会话与用户设备上的密钥关联，旨在限制攻击者盗取 Cookie 后，在其他设备上复用被盗凭证直接访问用户账户。
目前 Vercel 已经为 Chrome for Windows 和 macOS 版提供设备绑定会话凭证，该平台还在研究兼容方案为其他浏览器也带来类似的保护，后续 Vercel CLI 也将采用类似的保护机制。
谷歌从很久以前就在测试基于设备的浏览器凭证绑定机制，该机制被称为 DBSC 设备绑定会话凭证，此功能经过测试后已经正式发布，不过这还需要网站适配 DBSC 机制进行凭证绑定，成功适配后用户 Cookie 等凭证即便被盗用，黑客也无法使用凭证直接登录用户账户。
该机制将身份验证会话加密绑定到特定设备来防止窃取，其利用硬件支持的安全模块 (例如 Windows TPM 或 macOS 的安全隔离区) 生成独立的密钥对，该加密密钥不能从设备上导出，新会话的 Cookie 签发取决于谷歌浏览器向远程服务器证明拥有对应的私钥，由于攻击者无法窃取私钥，因此任何被窃取的 Cookie 都会失效所以继续窃取也没有意义。
这种设计允许网站在后端添加专用的检测和刷新 API 来升级到安全的硬件绑定会话，同时保持与前端的完全兼容性，浏览器在后台处理复杂的加密和 Cookie 轮换机制，所以网站可以像以前那样正常使用标准的 Cookie 进行访问。
Vercel.com 登录已支持 DBSC 机制：
Vercel 从 11 月 3 日开始逐步部署 DBSC 保护机制，此次保护针对开发者登录 Vercel.com 后管理项目和部署的会话。相关保护措施也将分阶段推送，避免引起 OAuth 应用等场景的兼容问题。
非常有趣的是，Vercel 还准备学习 DBSC 保护机制，自行开发名为 DPoP 的新技术，该技术主要用于命令行工具，也就是让命令行工具也能采用类似的会话绑定机制，避免会话凭证泄露引起的盗用问题。
不过 Vercel 也提到，对于设备上正在运行的恶意软件，恶意软件仍然可以在本地直接执行恶意操作，即黑客不需要盗用凭证在其他设备上操作，这种情况下保护力度会被削弱。
