breadcrumbDescription
API (Aktiver OAuth-indstillinger): Aktiver opdateringstokenrotation
Denne kontrol ugyldiggør og erstatter hvert opdateringstoken med et nyt, hver gang det bruges til at få et nyt adgangstoken.
Kontrolnavn
Tilsluttede apps: API (Aktiver OAuth-indstillinger): Aktiver opdateringstokenrotation
Anbefalet konfiguration
Aktiver Opdater tokenrotation.
Kontroller oversigt
Denne kontrol ugyldiggør og erstatter hvert opdateringstoken med et nyt, hver gang det bruges til at få et nyt adgangstoken.
Sikkerhedsrisiko, hvis den ikke er konfigureret
Uden rotation er et opdateringstoken "statisk" og har lang levetid, hvilket betyder, at hvis det nogensinde bliver stjålet, kan det bruges uendeligt til at generere nye sessioner uden, at angriberen nogensinde har brug for brugerens adgangskode eller MFA.
Trusselscenarier
En angriber udfiltrerer et opdateringstoken fra en brugers lokale enhedslager eller en kompromitteret logfil og bruger den til at vedligeholde vedvarende, stille adgang til Salesforce-organisationen længe efter den oprindelige bruger er logget ud.
Estimeret CVSS-scoringsinterval
Kritisk (9,0-10,0).
Overvejelser i forbindelse med risikopåvirkning
Manglen på rotation tillader "Uendelig sessionopbevarelse", hvilket gør det muligt for en modstander at forblive i miljøet uregistreret i måneder og systematisk udfiltrere data.
Højere risiko når
Risikoen er væsentligt højere for offentlige klienter (mobilapps og enkeltsideapps), der lagrer tokener i mindre sikre browser- eller enhedsmiljøer, hvor de er mere tilbøjelige til at blive stjålet af ondsindet software.
Lav risiko når
Når opdateringstokenrotation er parret med PKCE (Proof Key for Code Exchange) og adgangstokener med kort levetid, sikrer du, at ethvert stjålet token faktisk er "enkelt anvendt", og angriberen kan ikke matematisk bevise, at de er den oprindelige anmoder om at få et nyt.
Overvejelser i forbindelse med forretning og integration
Aktivering af rotation kræver, at klientapplikationen kan opdatere sit lagrede opdateringstoken efter hvert kald, da det at undlade at gemme det nye token vil resultere i, at appen "låses ude" under dets næste synkroniseringsforsøg.
Anbefalet rettelse
Gå til OAuth-indstillinger for den tilsluttede app, og marker afkrydsningsfeltet for "Aktiver opdateringstokenrotation".
Vejledning til sikkerhedstilstandsgennemgang
Security Health Review identificerer opdateringstokenrotation som en kritisk "Zero Trust"-mekanisme, der drastisk reducerer "blast-radius" for en stjålet legitimationsoplysning ved at gøre hvert token til et engangsaktiv.
