Ti trovi qui:
API (Abilita impostazioni OAuth): Flusso Disabilita credenziali client
Questo controllo prevede la disabilitazione dei flussi "Credenziali client" non sicure a favore di metodi di autenticazione basati su certificato High Assurance come il flusso bearer JWT o le app client esterne (ECA).
Nome controllo
Applicazioni connesse: API (Abilita impostazioni OAuth): Flusso Disabilita credenziali client
Configurazione consigliata
Disabilitare il flusso credenziali client.
Panoramica sul controllo
Questo controllo prevede la disabilitazione dei flussi "Credenziali client" non sicure a favore di metodi di autenticazione basati su certificato High Assurance come il flusso bearer JWT o le app client esterne (ECA).
Rischio per la sicurezza se non configurato
Questi flussi spesso si basano su un ID client statico e su un segreto client (e talvolta su password utente) che fungono da "segreti condivisi", che possono essere facilmente compromessi se codificati negli script o esposti nei file di configurazione.
Scenari di minaccia
Un aggressore scopre un segreto client codificato in un repository GitHub pubblico o in una documentazione interna e lo utilizza per eseguire l'autenticazione a livello di programmazione come account di servizio con privilegi elevati, ottenendo l'accesso API completo all'organizzazione.
Intervallo di punteggi CVSS stimato
Critico (9.0–10.0).
Considerazioni sull'impatto del rischio
L'uso di credenziali non sicure porta all'acquisizione persistente e non interattiva dell'account, consentendo a un avversario di esfiltrare grandi quantità di dati o modificare la configurazione del sistema senza attivare le tradizionali sfide della MFA.
Rischio maggiore quando
Se il flusso Credenziali client è associato a un utente assegnato al profilo "Amministratore di sistema" o a un profilo con autorizzazioni "Modifica tutti i dati".
Basso rischio quando
Se l'azienda ha implementato intervalli IP di accesso rigorosi per l'utente integrazione e utilizza Monitoraggio richieste API in tempo reale per rilevare traffico anomalo a volume elevato.
Considerazioni su Business e integrazione
La disabilitazione di questi flussi richiede la migrazione di middleware esistenti (ad esempio, MuleSoft, Boomi o script Python personalizzati) per utilizzare flussi JWT basati su certificato, il che comporta la gestione dei certificati X.509 e l'aggiornamento della logica lato client.
Rimedio consigliato
Accedere alle impostazioni OAuth dell'applicazione connessa, deselezionare la casella "Abilita flusso credenziali client" e passare all'integrazione per utilizzare il flusso bearer JWT con un certificato digitale.
Guida all'esame dello stato della sicurezza
Security Health Review identifica la rimozione dei flussi di credenziali legacy basati su password come un passaggio fondamentale per modernizzare la sicurezza dell'identità e passare a un'architettura Zero Trust per tutte le integrazioni da sistema a sistema.
