詳細情報:
API (OAuth 設定の有効化): 指定ユーザー向けの JSON Web トークン (JWT) ベースのアクセストークンの発行
このセキュリティ設定により、Salesforce 認証サーバーは不透明な参照ベースのアクセストークンの発行から、暗号化で署名された自己完結型の JSON Web トークンの発行に移行します。
コントロール名
接続アプリケーション: API (OAuth 設定の有効化): 指定ユーザーの JSON Web トークン (JWT) ベースのアクセストークンを発行
推奨設定
指定ユーザーの JSON Web トークン (JWT) ベースのアクセストークンを発行します。
制御の概要
このセキュリティ設定により、Salesforce 認証サーバーは、不透明な参照ベースのアクセストークンの発行から、ユーザー ID と権限要求を含む自己完結型の暗号署名済み JSON Web トークンの発行に移行します。
設定されていない場合のセキュリティリスク
接続アプリケーションセッションに適切に適用された JWT アクセストークンがない場合、従来のトークン形式が偽造され、傍受されたセッション識別子を介して不正な内部リソースにアクセスされやすくなる脆弱性が生じます。
脅威のシナリオ
攻撃者は、暗号化されていないセッション識別子を傍受し、API 層に対してそのセッション識別子を再生しようとします。これは、特定の公開鍵と有効期限タイムスタンプに対して検証できる構造化された署名済みトークンがシステムに必要ないためです。
推定 CVSS スコア範囲
高 (7.0 ～ 8.9)。
リスクの影響に関する考慮事項
署名付き JWT を使用しないと、外部アプリケーションがトークンの信頼性と整合性をローカルで検証できなくなり、すべての検証要求の認証サーバーへの依存度が高まり、侵害されたセッションの検出が遅延する可能性があります。
より高いリスク
インテグレーションで有効期間の長い更新トークンが使用されている場合、または十分な暗号化保護が行われずに組織のメタデータがトークンペイロードを介して公開されている場合。
低リスク
組織が短いトークンライフサイクルを義務付け、署名鍵の分離を確保するために個別の外部クライアントアプリケーションごとに一意のデジタル証明書を使用している場合。
ビジネスと統合に関する考慮事項
JWT ベースのトークンを実装するには、データを処理する前に、ヘッダー、ペイロード、署名を解析してクレームセットを検証することができる JWT ライブラリを消費アプリケーションに要求する必要があります。
推奨される修復
[接続アプリケーションの OAuth ポリシー] に移動し、[Issue JSON Web Token (JWT)-based access tokens for named users (指定ユーザーの JSON Web トークン (JWT) ベースのアクセストークンを発行)] オプションを選択します。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
セキュリティ状態レビューでは、JWT ベースのアクセストークンの使用を強く推奨する標準として特定し、すべてのセッションアサーションが署名済みで検証可能であることを確認して、トークンの偽造や不正なリソースアクセスを防止します。
