Sie befinden sich hier:
API (OAuth-Einstellungen aktivieren): Aktivieren der Aktualisierungstokenrotation
Durch dieses Steuerelement wird jedes Aktualisierungstoken ungültig und jedes Mal, wenn es zum Abrufen eines neuen Zugriffstokens verwendet wird, durch ein neues ersetzt.
Steuerelementname
Verbundene Anwendungen: API (OAuth-Einstellungen aktivieren): Aktivieren der Aktualisierungstokenrotation
Empfohlene Konfiguration
Aktivieren Sie Aktualisierungstokenrotation.
Steuerelementübersicht
Durch dieses Steuerelement wird jedes Aktualisierungstoken ungültig und jedes Mal, wenn es zum Abrufen eines neuen Zugriffstokens verwendet wird, durch ein neues ersetzt.
Sicherheitsrisiko, wenn nicht konfiguriert
Ohne Rotation ist ein Aktualisierungstoken "statisch" und langlebig. Wenn es jemals gestohlen wird, kann es unbegrenzt verwendet werden, um neue Sitzungen zu generieren, ohne dass der Angreifer jemals das Kennwort oder die MFA des Benutzers benötigt.
Bedrohungsszenarien
Ein Angreifer extrahiert ein Aktualisierungstoken aus dem lokalen Gerätespeicher eines Benutzers oder eine kompromittierte Protokolldatei und verwendet sie, um den persistenten, stillen Zugriff auf die Salesforce-Organisation lange nach der Abmeldung des ursprünglichen Benutzers aufrechtzuerhalten.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Die fehlende Rotation ermöglicht eine "unendliche Sitzungspersistenz", wodurch ein Gegner monatelang unentdeckt in der Umgebung bleiben und systematisch Daten exfiltrieren kann.
Höheres Risiko, wenn
Das Risiko für öffentliche Clients (mobile und Einzelseitenanwendungen), die Token in weniger sicheren Browser- oder Geräteumgebungen speichern, in denen sie anfälliger für Diebstahl durch Schadsoftware sind, ist deutlich höher.
Geringes Risiko, wenn
Wenn die Aktualisierungstokenrotation mit PKCE (Proof Key for Code Exchange) und kurzlebigen Zugriffstoken kombiniert wird, um sicherzustellen, dass gestohlene Token effektiv "einmalig" sind und der Angreifer nicht mathematisch nachweisen kann, dass er der ursprüngliche Anforderer ist, um ein neues Token zu erhalten.
Überlegungen zu Unternehmen und Integration
Zum Aktivieren der Rotation muss die Client-Anwendung in der Lage sein, ihr gespeichertes Aktualisierungstoken nach jedem Aufruf zu aktualisieren, da das Speichern des neuen Tokens nicht dazu führt, dass die Anwendung beim nächsten Synchronisierungsversuch gesperrt wird.
Empfohlene Sanierung
Wechseln Sie zu den OAuth-Einstellungen der verbundenen Anwendung und aktivieren Sie das Kontrollkästchen für "Aktualisierungstokenrotation aktivieren".
Anleitung zur Sicherheitsintegritätsprüfung
Bei der Sicherheitsintegritätsprüfung wird die Aktualisierungstokenrotation als wichtiger "Zero Trust"-Mechanismus identifiziert, der den "Blast-Radius" gestohlener Anmeldeinformationen drastisch reduziert, indem jedes Token zu einem Datenbestand für den einmaligen Gebrauch gemacht wird.
