U bent hier:
API (OAuth-instellingen inschakelen): Rotatie van vernieuwingstoken inschakelen
Dit besturingselement maakt elk vernieuwingstoken ongeldig en vervangt het door een nieuw token telkens wanneer het wordt gebruikt om een nieuw toegangstoken te verkrijgen.
Controlenaam
Verbonden apps: API (OAuth-instellingen inschakelen): Rotatie van vernieuwingstoken inschakelen
Aanbevolen configuratie
Schakel Rotatie van vernieuwingstoken in.
Overzicht van besturingselementen
Dit besturingselement maakt elk vernieuwingstoken ongeldig en vervangt het door een nieuw token telkens wanneer het wordt gebruikt om een nieuw toegangstoken te verkrijgen.
Beveiligingsrisico indien niet geconfigureerd
Zonder rotatie is een vernieuwingstoken "statisch" en langlevend, wat betekent dat als het ooit wordt gestolen, het voor onbepaalde tijd kan worden gebruikt om nieuwe sessies te genereren zonder dat de aanvaller ooit het wachtwoord of de MFA van de gebruiker nodig heeft.
Dreigingsscenario's
Een aanvaller extraheert een vernieuwingstoken uit de lokale apparaatopslag van een gebruiker of een gecompromitteerd logboekbestand en gebruikt dit om permanente, stille toegang tot de Salesforce-organisatie te behouden lang nadat de oorspronkelijke gebruiker is uitgelogd.
Geschatte CVSS-scorebereik
Kritiek (9,0–10,0).
Overwegingen bij risico-impact
Het gebrek aan rotatie maakt "oneindige sessiepersistentie" mogelijk, waardoor een tegenstander maandenlang onopgemerkt in de omgeving kan verblijven en systematisch gegevens kan exfiltreren.
Hoger risico wanneer
Het risico is aanzienlijk groter voor openbare clients (mobiele apps en apps van één pagina) die tokens opslaan in minder veilige browser- of apparaatomgevingen waar ze gevoeliger zijn voor diefstal door kwaadaardige software.
Laag risico wanneer
Wanneer Rotatie van vernieuwingstoken wordt gekoppeld aan PKCE (Proof Key for Code Exchange) en kortstondige toegangstokens, zorgt u ervoor dat een gestolen token in feite "eenmalig gebruik" is en dat de aanvaller niet wiskundig kan bewijzen dat hij of zij de oorspronkelijke aanvrager is om een nieuw token te verkrijgen.
Overwegingen bij bedrijf en integratie
Het inschakelen van roteren vereist dat de clienttoepassing in staat is om het opgeslagen vernieuwingstoken na elke aanroep bij te werken, aangezien het niet opslaan van het nieuwe token ertoe leidt dat de app wordt "uitgesloten" tijdens de volgende synchronisatiepoging.
Aanbevolen oplossing
Ga naar de OAuth-instellingen van de verbonden app en schakel het selectievakje voor Rotatie van vernieuwingstoken inschakelen in.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert Tokenrotatie vernieuwen als een kritiek "Zero Trust" mechanisme dat de "explosiestraal" van een gestolen gegeven drastisch vermindert door van elk token een activum voor eenmalig gebruik te maken.
