Sie befinden sich hier:
API (OAuth-Einstellungen aktivieren): Proof Key for Code Exchange (PKCE) erforderlich
Eine OAuth 2.0-Sicherheitserweiterung, die eine dynamisch erstellte kryptografische "Codeüberprüfung" verwendet, um sicherzustellen, dass die Anwendung, die einen Autorisierungscode gegen ein Zugriffstoken austauscht, mit der der Code ursprünglich angefordert wurde.
Steuerelementname
Verbundene Anwendungen: API (OAuth-Einstellungen aktivieren): Proof Key for Code Exchange (PKCE) erforderlich
Empfohlene Konfiguration
PKCE-Erweiterung (Proof Key for Code Exchange) für unterstützte Autorisierungs-Flows erforderlich – Ausgewählt.
Steuerelementübersicht
PKCE ist eine Sicherheitserweiterung für OAuth 2.0, die einen dynamisch erstellten kryptografischen "Codeverifizierer" verwendet, um sicherzustellen, dass die Anwendung, die einen Autorisierungscode gegen ein Zugriffstoken austauscht, dieselbe Anwendung ist, die den Code ursprünglich angefordert hat.
Sicherheitsrisiko, wenn nicht konfiguriert
Ohne PKCE sind öffentliche Clients (wie mobile Anwendungen oder Einzelseitenanwendungen) anfällig für "Autorisierungscode-Abhörvorgänge", da sie kein Client-Geheimnis speichern können, um ihre Identität während des Token-Austauschs zu bestätigen.
Bedrohungsszenarien
Ein Angreifer fängt einen erfolgreichen Autorisierungscode über ein benutzerdefiniertes URI-Schema oder eine Browserumleitung ab und tauscht ihn sofort gegen ein gültiges Zugriffstoken aus, bevor die legitime Anwendung dies kann, wodurch die Sitzung des Benutzers faktisch gekapert wird.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Ein erfolgreiches Abfangen führt zur vollständigen Accountübernahme innerhalb des Anwendungsbereichs, wodurch der Gegner potenziell sensible personenbezogene Daten exfiltrieren oder nicht autorisierte Transaktionen als kompromittierter Benutzer ausführen kann.
Höheres Risiko, wenn
Das Risiko ist hoch für mobile Anwendungen und Einzelseitenanwendungen, bei denen der Code über potenziell unsichere Systembrowser oder freigegebene Geräteumgebungen übertragen wird.
Geringes Risiko, wenn
Das Risiko für "Vertrauliche Clients" (Server-zu-Server-Integrationen), die ein Client-Geheimnis sicher speichern und verwenden können, um den Token-Austausch zu authentifizieren, wird jedoch weiterhin als eingehende Verteidigung empfohlen.
Überlegungen zu Unternehmen und Integration
Zum Erzwingen von PKCE müssen Entwickler die OAuth-Handshake-Logik ihrer Anwendung aktualisieren, um die Parameter code_challenge und code_verifier zu generieren und zu senden, was möglicherweise eine Aktualisierung veralteter mobiler Bibliotheken erfordert.
Empfohlene Sanierung
Wechseln Sie zu den Einstellungen der verbundenen Anwendung in Salesforce und aktivieren Sie das Kontrollkästchen "Erweiterung "Proof Key for Code Exchange (PKCE)" (Proof Key for Code Exchange erforderlich).
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert PKCE als obligatorische Grundlage für alle modernen öffentlichen Integrationen, um das "Code-Injection"-Schlupfloch zu schließen und die Identitätsüberprüfung mit hoher Sicherung für mobile und Webbenutzer sicherzustellen.
