Du är här:
API (Aktivera OAuth-inställningar): Aktivera rotationskontroll för uppdateringstoken
Denna kontroll ogiltigförklarar och ersätter varje uppdateringstoken med en ny varje gång den används för att få en ny åtkomsttoken.
Kontrollnamn
Anslutna appar: API (Aktivera OAuth-inställningar): Aktivera rotation av uppdateringstoken
Rekommenderad konfiguration
Aktivera Rotation av uppdateringstoken.
Kontrollöversikt
Denna kontroll ogiltigförklarar och ersätter varje uppdateringstoken med en ny varje gång den används för att få en ny åtkomsttoken.
Säkerhetsrisk om den inte är konfigurerad
Utan rotation är en uppdateringstoken "statisk" och långlivad, vilket innebär att om den någonsin stjäls kan den användas på obestämd tid för att skapa nya sessioner utan att attackeraren någonsin behöver användarens lösenord eller MFA.
Hotscenarier
En attackerare extraherar en uppdateringstoken från en användares lokala enhetslagring eller en komprometterad loggfil och använder den för att upprätthålla beständig, tyst åtkomst till Salesforce-organisationen långt efter att den ursprungliga användaren har loggats ut.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
Bristen på rotation tillåter "oändlig sessionsbeständighet", vilket gör att en motståndare kan vistas i miljön oupptäckt i månader och systematiskt exfiltrera data.
Högre risk när
Risken är betydligt högre för offentliga klienter (mobilappar och appar med en sida) som lagrar tokens i mindre säkra webbläsar- eller enhetsmiljöer där de är mer mottagliga för stöld av skadlig programvara.
Låg risk när
När Rotation för uppdateringstoken paras ihop med PKCE (Proof Key for Code Exchange) och kortlivade åtkomsttokens, se till att en stulen token i själva verket är "engångsanvänd" och att attackeraren inte matematiskt kan bevisa att de är den ursprungliga begäran att få en ny.
Att tänka på vad gäller affärer och integration
Att aktivera rotation kräver att klientprogrammet kan uppdatera sin lagrade uppdateringstoken efter varje anrop, eftersom att inte spara den nya token kommer att resultera i att appen "låses ute" under nästa synkroniseringsförsök.
Rekommenderad åtgärd
Gå till OAuth-inställningarna för den anslutna appen och markera kryssrutan för "Aktivera uppdateringstokenrotation".
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar Rotation av uppdateringstoken som en viktig "Zero Trust"-mekanism som drastiskt minskar "explosionsradien" för en stulen inloggning genom att göra varje token till en engångstillgång.
