Du är här:
API (Aktivera OAuth-inställningar): Konfigurera ID-token
Denna säkerhetsinställning definierar den kryptografiska livslängden och datastrukturen för OpenID Connect ID-token.
Kontrollnamn
Anslutna appar: API (Aktivera OAuth-inställningar): Konfigurera ID-token
Rekommenderad konfiguration
Konfigurera ID-token - Tokenlängd i minuter (2min) | ID-tokenmålgrupper | Inkludera standardanspråk | Inkludera egna behörigheter | Egna attribut.
Kontrollöversikt
Denna säkerhetsinställning definierar den kryptografiska livslängden och datastrukturen för OpenID Connect ID-token genom att specificera utgångsdatum, målgruppsidentifierare och inkludering av specifika metadata på användarnivå.
Säkerhetsrisk om den inte är konfigurerad
Svag ID-tokenlängd och felaktigt hanterade attribut för programsessioner leder till en förlängd risk för identitetsstöld där gamla tokens som innehåller känsliga användaridentifierare förblir giltiga för obehörig återanvändning.
Hotscenarier
En attackerare fångar upp en långlivad ID-token och extraherar beständiga användarmetadata eller använder den aktiva sessionen för att imitera offret i flera integrerade system längre ner som delar samma målgruppsanspråk.
Uppskattat CVSS-betygintervall
Hög (7,0-8,9).
Att tänka på vad gäller riskpåverkan
Misslyckande med att implementera korta tokenlivscykler och begränsade attributuppsättningar underlättar oauktoriserad skörd av personliga identifierare och ökar sannolikheten för framgångsrika reprisattacker mot organisationens identitetslager.
Högre risk när
När ID-token innehåller breda egna attribut som innehåller känslig verksamhetslogik eller när målgruppsanspråket är inställt till ett globalt värde som tillåter tokenacceptans av oavsiktliga externa tjänsteleverantörer.
Låg risk när
Om organisationen tillämpar ett minimalt utgångsfönster på två minuter och använder unika målgruppsidentifierare för att säkerställa att tokens är kryptografiskt bundna till en enskild, verifierad klient.
Att tänka på vad gäller affärer och integration
Att implementera restriktiva ID-tokenpolicyer säkerställer efterlevnad av datasekretessföreskrifter genom att minimera överföringen av onödiga användardata, men det kräver att det konsumerande programmet har stöd för frekventa tokenuppdateringscykler.
Rekommenderad åtgärd
Gå till OAuth-policyer för den anslutna appen, ställ in ID-tokens giltighet till två minuter, definiera ID-tokenmålgrupper och välj endast de standardkrav och egna anspråk som behövs.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar användningen av kortlivade, anspråksbegränsade ID-tokens som en starkt rekommenderad standard för att minimera möjligheten till missbruk av inloggningsuppgifter och för att förhindra exponering av beständiga användarmetadata.
