Du er her:
API (Aktiver OAuth-innstillinger): Konfigurer ID-token
Denne sikkerhetsinnstillingen definerer kryptografisk levetid og datastruktur for OpenID Connect-ID-tokenet.
Navn på kontroll
Tilkoblede apper: API (Aktiver OAuth-innstillinger): Konfigurer ID-token
Anbefalt konfigurasjon
Konfigurer ID-token - Tokenvarighet i minutter (2 minutter) | ID-tokenmålgrupper | Inkluder standardkrav | Inkluder tilpassede tillatelser | Tilpassede attributter.
Oversikt over kontroll
Denne sikkerhetsinnstillingen definerer kryptografisk levetid og datastruktur for OpenID Connect-ID-tokenet ved å angi utløpsintervallet, målgruppeidentifikatorer og inkludering av spesifikke metadata på brukernivå.
Sikkerhetsrisiko hvis ikke konfigurert
Svak ID-tokenvarighet og feil administrerte attributter for søknadsøkter fører til en langvarig identitetstyveri, der foreldede tokener som inneholder sensitive brukeridentifikatorer, forblir gyldige for uautorisert gjenbruk.
Trusselscenarier
En angriper fanger opp et ID-token med lang levetid og trekker ut faste brukermetadata eller bruker den aktive økten til å gjengi offeret på tvers av flere nedstrøms integrerte systemer som deler samme målgruppekrav.
Beregnet CVSS Score-område
Høyt (7.0–8,9).
Viktige punkter om risikoinnvirkning
Mislykket implementering av korttokenlivssykluser og begrensede attributtsett letter uautorisert innhenting av personlige identifikatorer og øker sannsynligheten for vellykkede repetisjonsangrep mot det organisasjonsidentitetslaget.
Høyere risiko når
Når ID-tokenet inkluderer brede tilpassede attributter som inneholder sensitiv forretningslogikk, eller når målgruppekravet er satt til en global verdi som tillater tokenantagelse av utilsiktede eksterne tjenesteleverandører.
Lav risiko når
Hvis organisasjonen håndhever et utløpsvindu på minst to minutter og bruker unike målgruppeidentifikatorer til å forsikre seg om at tokener er kryptografisk bundet til en enkelt, bekreftet klient.
Viktige punkter om virksomheten og integrasjonen
Implementering av restriktive ID-tokenpolicyer sikrer overholdelse av datapersonvernforskrifter ved å minimere overføring av unødvendige brukerdata, selv om det krever at det forbrukende programmet støtter hyppige tokenoppdateringssykluser.
Anbefalt rettelse
Gå til OAuth-policyene for den tilkoblede appen, angi ID-tokengyldigheten til to minutter, definer ID-tokenmålgrupper og velg bare de nødvendige standardkravene og de tilpassede kravene.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer bruk av kortvarige, kravbegrensede ID-tokener som en sterkt anbefalt standard for å minimere salgsmulighetsvinduet for misbruk av legitimasjon og for å hindre eksponering av faste brukermetadata.
