Вы находитесь здесь:
API (Включить параметры OAuth): Включение ротации маркера обновления
Этот элемент управления аннулирует и заменяет каждый маркер обновления новым каждый раз, когда он используется для получения нового маркера доступа.
Управление именем
Связанные приложения: API (Включить параметры OAuth): Включение ротации маркера обновления
Рекомендованная конфигурация
Включите ротацию маркера обновления.
Общие сведения о контроле
Этот элемент управления аннулирует и заменяет каждый маркер обновления новым каждый раз, когда он используется для получения нового маркера доступа.
Риск безопасности, если он не настроен
Без ротации маркер обновления является статическим и долговечным, то есть, если его когда-либо украдут, его можно использовать бесконечно для создания новых сеансов, при этом злоумышленнику никогда не понадобится пароль пользователя или MFA.
Сценарии угроз
Взломщик извлекает маркер обновления из локального хранилища устройства пользователя или взломанного файла журналов и использует его для сохранения постоянного негласного доступа к организации Salesforce в течение длительного времени после выхода исходного пользователя.
Примерный диапазон оценки CVSS
Критические (9,0-10,0).
Рекомендации по влиянию риска
Отсутствие ротации позволяет «бесконечно сохранять сеанс», что позволяет противнику незамеченным месяцами обитать в среде и систематически извлекать данные.
Повышенный риск при
Риск значительно выше для общедоступных клиентов (мобильные и одностраничные приложения), которые хранят маркеры в менее безопасных средах обозревателя или устройства, где они более подвержены краже вредоносным программным обеспечением.
Низкий риск при
Если ротация маркера обновления работает в паре с PKCE (ключ подтверждения для обмена кодами) и маркерами кратковременного доступа, убедитесь, что любой украденный маркер действительно является «одноразовым», и злоумышленник не может математически доказать, что он является оригинальным запросчиком на получение нового.
Рекомендации по бизнесу и интеграции
Включение ротации требует, чтобы клиентское приложение было способно обновлять сохраненный маркер обновления после каждого вызова, поскольку неспособность сохранить новый маркер приведет к «блокировке» приложения во время следующей попытки синхронизации.
Рекомендованное исправление
Перейдите в параметры OAuth связанного приложения и установите флажок в поле «Включить ротацию маркера обновления».
Руководство по проверке состояния безопасности
Обзор состояния безопасности определяет ротацию маркера обновления как важнейший механизм "Zero Trust", который резко уменьшает "радиус взрыва" украденных регистрационных данных, делая каждый маркер одноразовым активом.
