Du er her:
API (Aktiver OAuth-innstillinger): Krev bevisnøkkel for kodeutveksling (PKCE)
En OAuth 2.0-sikkerhetsutvidelse som bruker en dynamisk opprettet kryptografisk "kodeverifikator" for å sikre at programmet som utveksler en godkjenningskode for et tilgangstoken, er det samme som opprinnelig ba om koden.
Navn på kontroll
Tilkoblede apper: API (Aktiver OAuth-innstillinger): Krev bevisnøkkel for kodeutveksling (PKCE)
Anbefalt konfigurasjon
Krev Proof Key for Code Exchange (PKCE)-utvidelse for støttede godkjenningsflyter – valgt.
Oversikt over kontroll
PKCE er en sikkerhetsutvidelse for OAuth 2.0 som bruker en dynamisk opprettet kryptografisk "kodeverifikator" for å sikre at programmet som utveksler en godkjenningskode for et tilgangstoken, er det samme programmet som opprinnelig ba om koden.
Sikkerhetsrisiko hvis ikke konfigurert
Uten PKCE er offentlige klienter (som mobilapper eller apps med én side) sårbare for "godkjenningskodeavskjæring" fordi de ikke kan lagre en klienthemmelighet sikkert for å bekrefte identiteten sin under tokenutvekslingen.
Trusselscenarier
En angriper fanger opp en vellykket godkjenningskode via et tilpasset URI-skjema eller en nettleseromdirigering, og utveksler den umiddelbart mot et gyldig tilgangstoken før det legitime programmet kan, noe som effektivt kaprer brukerøkten.
Beregnet CVSS Score-område
Kritisk (9.0–10.0).
Viktige punkter om risikoinnvirkning
En vellykket oppfanging fører til total kontooverføring innenfor programvarens omfang, noe som potensielt tillater motstanderen å eksfiltrere sensitiv PII eller utføre uautoriserte transaksjoner som den kompromitterte brukeren.
Høyere risiko når
Risikoen er høy for mobilprogrammer og programmer med én side der koden overføres over potensielt usikre systemnettlesere eller felles enhetsmiljøer.
Lav risiko når
Risikoen anses som lavere for "konfidensielle kunder" (server-til-server-integrasjoner) som trygt kan lagre og bruke en klienthemmelighet til å godkjenne tokenutvekslingen, selv om PKCE fortsatt anbefales som en dybdeforsvar.
Viktige punkter om virksomheten og integrasjonen
Håndheving av PKCE krever at utviklere oppdaterer programets OAuth-håndshake-logikk for å generere og sende parameterne code_challenge og code_verifier, som kan kreve oppdatering av eldre mobilbiblioteker.
Anbefalt rettelse
Gå til innstillingene for den tilkoblede appen i Salesforce, og slå av avmerkingsboksen for Krev bevisnøkkel for PKCE-utvidelse (Kodeutveksling).
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsgjennomgang identifiserer PKCE som en obligatorisk grunnlinje for alle moderne offentlig tilgjengelige integrasjoner for å lukke hull i "kodeinnsetting" og sikre identitetsbekreftelse med høy sikkerhet for mobil- og nettbrukere.
