Du är här:
API (Aktivera OAuth-inställningar): Inaktivera flödeskontroll för klientuppgifter
Denna kontroll innefattar att inaktivera de osäkra flödena för "Klientuppgifter" till förmån för certifikatbaserade autentiseringsmetoder med hög garanti, som JWT-bärarflöde eller externa klientappar (ECA).
Kontrollnamn
Anslutna appar: API (Aktivera OAuth-inställningar): Inaktivera klientinloggningsuppgifter-flöde
Rekommenderad konfiguration
Inaktivera flödet för klientuppgifter.
Kontrollöversikt
Denna kontroll innefattar att inaktivera de osäkra flödena för "Klientuppgifter" till förmån för certifikatbaserade autentiseringsmetoder med hög garanti, som JWT-bärarflöde eller externa klientappar (ECA).
Säkerhetsrisk om den inte är konfigurerad
Dessa flöden förlitar sig ofta på ett statiskt klient-ID och klienthemlighet (och ibland användarlösenord) som fungerar som "delade hemligheter", som lätt äventyras om de hårdkodas i skript eller visas i konfigurationsfiler.
Hotscenarier
En attackerare upptäcker en hårdkodad klienthemlighet i ett offentligt GitHub-arkiv eller intern dokumentation och använder den för att programmatiskt autentisera som ett servicekonto med hög behörighet och få fullständig API-åtkomst till organisationen.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
Att använda osäkra inloggningsuppgifter leder till bestående, icke-interaktiva kontoövertaganden, vilket låter en motståndare filtrera bort stora mängder data eller ändra systemkonfigurationen utan att utlösa traditionella MFA-utmaningar.
Högre risk när
Om flödet Klientuppgifter är associerat med en användare som är tilldelad profilen "Systemadministratör" eller en profil med behörigheten "Ändra alla data".
Låg risk när
Om företaget har implementerat strikta IP-intervall för inloggning för integreringsanvändaren och använder övervakning av API-begäran i realtid för att upptäcka avvikande trafik med hög volym.
Att tänka på vad gäller affärer och integration
Att inaktivera dessa flöden kräver att befintlig mellanprogramvara (till exempel MuleSoft, Boomi eller egna Python-skript) migreras för att använda certifikatbaserade JWT-flöden, vilket innefattar hantering av X.509-certifikat och uppdatering av logik på klientsidan.
Rekommenderad åtgärd
Gå till OAuth-inställningarna för den anslutna appen, avmarkera rutan "Aktivera klientinloggningsuppgifterflöde" och överför integreringen till att använda JWT-bärarflödet med ett digitalt certifikat.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar borttagning av äldre, lösenordsbaserade inloggningsuppgifter som ett viktigt steg i att modernisera identitetssäkerhet och gå mot en Zero Trust för alla system-till-system-integreringar.
