위치:
API(OAuth 설정 활성화): 명명된 사용자에 대한 JSON 웹 토큰(JWT) 기반 액세스 토큰 발행
이 보안 설정은 불투명한 참조 기반 액세스 토큰을 발행하는 Salesforce 권한 부여 서버에서 암호화된 독립형 JSON 웹 토큰 발행으로 전환합니다.
제어 이름
연결된 앱: API(OAuth 설정 활성화): 명명된 사용자에 대해 JSON 웹 토큰(JWT) 기반 액세스 토큰 발행
권장 구성
명명된 사용자에 대해 JSON 웹 토큰(JWT) 기반 액세스 토큰을 발행합니다.
제어 개요
이 보안 설정은 Salesforce 권한 부여 서버가 불투명한 참조 기반 액세스 토큰을 발행하는 중에서 사용자 ID 및 권한 청구를 포함하는 암호화 방식으로 암호화된 자체 JSON 웹 토큰을 발행하는 중으로 전환합니다.
구성되지 않은 경우 보안 위험
연결된 앱 세션에 대해 제대로 적용된 JWT 액세스 토큰이 없으면 레거시 토큰 형식이 가짜 및 가로채기된 세션 식별자를 통한 무단 내부 자원 액세스에 더 취약해집니다.
위협 시나리오
시스템에 특정 공개 키 및 만료 타임스탬프에 대해 확인할 수 있는 구조화된 서명 토큰이 필요하지 않으므로 공격자가 암호화되지 않은 세션 식별자를 가로채고 API 계층에 대해 재생하려고 합니다.
예상 CVSS 점수 범위
높음(7.0~8.9)
위험 영향 고려 사항
서명된 JWT를 사용하지 못하면 외부 응용 프로그램이 토큰의 인증 및 무결성을 로컬로 확인하지 못하므로 모든 확인 요청에 대한 권한 부여 서버에 대한 의존도가 증가하고 잠재적으로 손상된 세션 감지가 지연됩니다.
고위험 시점
통합에서 장기적인 새로 고침 토큰을 사용하거나 조직 메타데이터가 충분한 암호화 보호가 없는 토큰 페이로드를 통해 노출되는 경우
낮은 위험 시기
조직이 서명 키를 분리하기 위해 짧은 토큰 수명 주기를 요구하고 모든 고유한 외부 클라이언트 응용 프로그램에 고유한 디지털 인증서를 사용하는 경우
비즈니스 및 통합 고려 사항
JWT 기반 토큰을 구현하려면 많은 응용 프로그램이 데이터를 처리하기 전에 클레임 집합을 확인하기 위해 머리글, 페이로드, 서명을 구문 분석할 수 있는 JWT 라이브러리를 보유해야 합니다.
권장 수정
연결된 앱의 OAuth 정책으로 이동하여 명명된 사용자에 대해 JSON 웹 토큰(JWT) 기반 액세스 토큰 발행 옵션을 선택합니다.
보안 상태 검토 지침
보안 상태 검토는 모든 세션 어설션이 서명되고 확인 가능하도록 하는 강력한 권장 표준으로 JWT 기반 액세스 토큰 사용을 식별하여 토큰 위조 및 무단 자원 액세스를 방지합니다.
