breadcrumbDescription
API (Aktiver OAuth-indstillinger): Kræv bekræftelsesnøgle for kodeudveksling (PKCE)
En OAuth 2.0-sikkerhedsudvidelse, der bruger en dynamisk oprettet kryptografisk "kodebekræfter" til at sikre, at applikationen, der udveksler en autorisationskode for et adgangstoken, er den samme, der oprindeligt anmodede om koden.
Kontrolnavn
Tilsluttede apps: API (Aktiver OAuth-indstillinger): Kræv bekræftelsesnøgle for kodeudveksling (PKCE)
Anbefalet konfiguration
Kræv bekræftelsesnøgle for PKCE-udvidelse for understøttede autorisationsforløb - Valgt.
Kontroller oversigt
PKCE er en sikkerhedsudvidelse for OAuth 2.0, der bruger en dynamisk oprettet kryptografisk "kodebekræfter" til at sikre, at applikationen, der udveksler en autorisationskode for et adgangstoken, er den samme applikation, der oprindeligt anmodede om koden.
Sikkerhedsrisiko, hvis den ikke er konfigureret
Uden PKCE er offentlige klienter (f.eks. mobilapps eller apps med en enkelt side) sårbare over for "godkendelseskodeoptagelse", fordi de ikke kan lagre en klienthemmelighed sikkert for at bekræfte deres identitet under tokenudvekslingen.
Trusselscenarier
En angriber opfanger en vellykket autorisationskode via et tilpasset URI-skema eller browseromdirigering og udveksler den straks til et gyldigt adgangstoken, før den gyldige applikation kan, hvilket effektivt overtager brugerens session.
Estimeret CVSS-scoringsinterval
Kritisk (9,0-10,0).
Overvejelser i forbindelse med risikopåvirkning
En vellykket optagelse fører til samlet kontoovertagelse inden for applikationens omfang, hvilket potentielt tillader modstanderen at udfiltrere følsom personligt identificerbare oplysninger eller udføre uautoriserede transaktioner som den kompromitterede bruger.
Højere risiko når
Risikoen er høj for mobilapplikationer og enkeltsideapplikationer, hvor koden overføres over potentielt usikre systembrowsere eller delte enhedsmiljøer.
Lav risiko når
Risikoen betragtes som lavere for "fortrolige klienter" (server-til-server-integrationer), der sikkert kan lagre og bruge en klienthemmelighed til at godkende tokenudvekslingen, selvom PKCE stadig anbefales som dybdegående forsvar.
Overvejelser i forbindelse med forretning og integration
Håndhævelse af PKCE kræver, at udviklere opdaterer deres applikations OAuth-håndshake-logik for at generere og sende parametrene code_challenge og code_verifier, hvilket kan kræve opdatering af forældede mobilbiblioteker.
Anbefalet rettelse
Gå til indstillingerne for Tilsluttet app i Salesforce, og aktiver afkrydsningsfeltet for "Kræv bekræftelsesnøgle for PKCE-udvidelse".
Vejledning til sikkerhedstilstandsgennemgang
Sikkerhedstilstandscheck identificerer PKCE som en obligatorisk basislinje for alle moderne offentlige integrationer for at lukke hullet "kodeindsprøjtning" og sikre identitetsbekræftelse med høj sikring for mobil- og webbrugere.
