Вы находитесь здесь:
API (Включить параметры OAuth): Требовать ключ подтверждения для обмена кодами (PKCE)
Расширение безопасности OAuth 2.0, использующее динамически созданное криптографическое «средство проверки кода», чтобы убедиться, что приложение, обменяющее код авторизации на маркер доступа, использует тот же код, который был запрошен изначально.
Управление именем
Связанные приложения: API (Включить параметры OAuth): Требовать ключ подтверждения для обмена кодами (PKCE)
Рекомендованная конфигурация
Требовать ключ подтверждения для расширения обмена кодами (PKCE) для поддерживаемых потоков авторизации - выбрано.
Общие сведения о контроле
PKCE - это расширение безопасности для OAuth 2.0, использующее динамически созданное криптографическое «средство проверки кода», чтобы обеспечить, что приложение, обменивающее код авторизации на маркер доступа, является тем же приложением, которое запросило код изначально.
Риск безопасности, если он не настроен
Без PKCE общедоступные клиенты (например, мобильные приложения или приложения с одной страницей) уязвимы для «Перехвата кода авторизации», поскольку они не могут безопасно хранить секрет клиента для проверки подлинности во время обмена маркеров.
Сценарии угроз
Злоумышленник перехватывает успешный код авторизации посредством настраиваемой схемы URI или переадресации обозревателя и немедленно обменивает его на действительный маркер доступа до того, как это сможет сделать законное приложение, эффективно перехватывая сеанс пользователя.
Примерный диапазон оценки CVSS
Критические (9,0-10,0).
Рекомендации по влиянию риска
Успешный перехват приводит к общему захвату организации в рамках приложения, потенциально позволяя противнику извлекать конфиденциальные персональные данные или выполнять несанкционированные транзакции от имени скомпрометированного пользователя.
Повышенный риск при
Риск высок для мобильных приложений и одностраничных приложений, где код передается через потенциально небезопасные системные обозреватели или общедоступные среды устройства.
Низкий риск при
Риск считается более низким для «Конфиденциальных клиентов» (интеграции между серверами), которые могут безопасно хранить и использовать секрет клиента для проверки подлинности обмена маркерами, хотя PKCE все еще рекомендуется в качестве глубокой защиты.
Рекомендации по бизнесу и интеграции
Внедрение PKCE требует, чтобы разработчики обновили логику рукопожатия OAuth приложения для создания и отправки параметров code_challenge и code_verifier, что может потребовать обновления устаревших мобильных библиотек.
Рекомендованное исправление
Перейдите в параметры связанного приложения в Salesforce и включите флажок «Требовать ключ подтверждения для расширения обмена кодами (PKCE)».
Руководство по проверке состояния безопасности
Обзор состояния безопасности определяет PKCE в качестве обязательного базиса для всех современных общедоступных интеграций, чтобы закрыть лазейку «впрыскивания кода» и обеспечить высоконадежную проверку подлинности для мобильных и веб-пользователей.
