تسعى شركة Vercel إلى التخلص من مفاتيح API طويلة الأمد من نظامها البيئي، وتمنح بائعي Marketplace مهلة حتى يناير 2027 للامتثال أو المخاطرة بإزالتهم من القائمة. تأتي هذه الخطوة في ظل سلسلة من هجمات سرقة بيانات الاعتماد في سلاسل التوريد، بما في ذلك دودة npm حديثة قامت بسرقة الرموز المميزة مباشرة من مسارات CI، مما يثبت مدى الضرر الذي يمكن أن يسببه سر واحد مسرب.
في إعلان يوم الخميس، يقول مالتي أوبل، المدير التقني لـ Vercel، إن الشركة استطلعت أكثر من 1000 بائع SaaS ووجدت أن 8.4% فقط يدعمون ما تعتبره Vercel طرق مصادقة آمنة. وهي تدفع الآن باتجاه OpenID Connect (OIDC) والرموز المميزة قصيرة الأمد والقائمة على الهوية كبديل لمفاتيح API الثابتة التي يمكن أن تظل صالحة إلى أجل غير مسمى.
يعزز غييرمو راوخ، الرئيس التنفيذي لشركة Vercel، الرسالة على X، وكتب أن "الوقت قد حان لإنهاء «بيانات الاعتماد الثابتة»" ويجادل بأنه بينما لا تزال الهجمات والاختراقات تحدث، يجب أن تتصرف بيانات الاعتماد المسروقة بشكل أشبه بـ "مفاتيح التدمير الذاتي" التي تنتهي صلاحيتها قبل أن يتمكن المهاجم من الاستمرار في استخدامها.
لماذا تواجه Vercel معيارًا مزدوجًا في النشر؟
يوضح يورديس بريتو، المطور ومهندس البرمجيات الأول في Fanatics، هذه النقطة، حيث كتب ردًا أن Vercel "اخترعت" اتحاد OIDC ومع ذلك تركته يعتمد على "رمز وصول طويل الأمد" في مسار CI الخاص به. ويحث الشركة على إسقاط متطلب الرمز المميز من GitHub CI بينما ينتقد خيارها للرمز المميز غير المنتهي الصلاحية.
لا يزال دليل نشر GitHub Actions الخاص بـ Vercel يوجه المطورين لمصادقة عمليات النشر باستخدام سر VERCEL_TOKEN. وفي إعلان يوم الخميس، يقول أوبل إن الشركة تعمل على توسيع دعم OIDC عبر واجهة برمجة التطبيقات (API) وواجهة سطر الأوامر (CLI) الخاصة بها لإلغاء الرموز المميزة طويلة الأمد من سير عمل النشر. وهذا يترك Vercel في الوقت الحالي تطلب من بائعي Marketplace تبني معيار لم تنفذه أدوات النشر الخاصة بها بالكامل.
ولم تنشر الشركة منهجية استطلاعها، أو تسمي الشركات التي استطلعتها، أو تكشف عن عدد شركاء Marketplace الحاليين الذين سيتعين عليهم تغيير أنظمة المصادقة الخاصة بهم.
ما هو دور الرموز قصيرة الأمد لوكلاء الذكاء الاصطناعي؟
مع حصول وكلاء الذكاء الاصطناعي على وصول إلى المزيد من الخدمات الخارجية، أصبحت إدارة بيانات الاعتماد اعتبارًا أكبر لأطر عمل الوكلاء. إحدى طرق تقليل مخاطر مفاتيح الوصول المستمرة هي استخدام بيانات اعتماد قصيرة الأمد وفورية تنتهي صلاحيتها بدلاً من ترك الوكلاء بوصول مستمر.
تعالج خدمة Connect من Vercel جزءًا من هذه المشكلة من خلال السماح للتطبيقات والوكلاء بطلب بيانات اعتماد محددة النطاق في وقت التشغيل باستخدام هوية النشر الخاصة بهم بدلاً من تخزين الأسرار في بيئات التطبيق. تتولى Connect أيضًا تبادل الرموز المميزة وتجديدها.
مع ذلك، لا تزال Vercel Connect تدعم مفاتيح API الثابتة للموفرين الذين يفتقرون إلى OAuth أو خيار آخر قائم على الهوية. وتصف وثائقها تخزين بيانات الاعتماد هذه مركزيًا وسحبها في وقت التشغيل، بينما يمكن أن تظل المفاتيح الأساسية صالحة إلى أجل غير مسمى.
قدمت الشركة أيضًا مصادقة GitHub OIDC لسجل الحاويات الخاص بها في أواخر سبتمبر، لكن هذا العمل لا يزيل متطلب VERCEL_TOKEN من سير عمل نشر GitHub Actions الموثق.
في الوقت الحالي، تواجه Vercel نفس المهمة التي تطلبها من بائعي Marketplace: استبدال بيانات الاعتماد طويلة الأمد عبر البنية التحتية التي تديرها بالفعل. وحتى يصل دعم OIDC إلى سير العمل مثل عمليات نشر GitHub Actions، سيظل المطورون بحاجة إلى الرموز المميزة نفسها التي تحث Vercel بقية الصناعة على التخلي عنها.
جرّب الأداة: محلل رموز JWT
