Du är här:
API (Aktivera OAuth-inställningar): Kräv korrekturnyckel för kodutbyteskontroll (PKCE)
Ett OAuth 2.0-säkerhetstillägg som använder en dynamiskt skapad kryptografisk "kodverifierare" för att säkerställa att programmet som byter ut en auktoriseringskod mot en åtkomsttoken är samma som ursprungligen begärde koden.
Kontrollnamn
Anslutna appar: API (Aktivera OAuth-inställningar): Kräv korrekturnyckel för kodutbyte (PKCE)
Rekommenderad konfiguration
Kräv PKCE-tillägg (Proof Key for Code Exchange) för auktoriseringsflöden som stöds - Valda.
Kontrollöversikt
PKCE är ett säkerhetstillägg för OAuth 2.0 som använder en dynamiskt skapad kryptografisk "kodverifierare" för att säkerställa att programmet som byter ut en auktoriseringskod mot en åtkomsttoken är samma program som ursprungligen begärde koden.
Säkerhetsrisk om den inte är konfigurerad
Utan PKCE är offentliga klienter (som mobilappar eller appar på en sida) sårbara för avlyssning av auktoriseringskod eftersom de inte kan lagra en klienthemlighet säkert för att bekräfta sin identitet under tokenutbytet.
Hotscenarier
En attackerare fångar upp en framgångsrik auktoriseringskod via ett eget URI-schema eller webbläsaromdirigering och byter omedelbart ut den mot en giltig åtkomsttoken innan det legitima programmet kan det, vilket effektivt kapar användarens session.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
En framgångsrik avlyssning leder till total kontoövertagande inom programmets omfattning, vilket potentiellt låter motståndaren filtrera känslig PII eller utföra oauktoriserade transaktioner som den komprometterade användaren.
Högre risk när
Risken är hög för mobilappar och applikationer med en sida där koden överförs över potentiellt osäkra systemwebbläsare eller delade enhetsmiljöer.
Låg risk när
Risken anses vara lägre för "konfidentiella klienter" (server-till-server-integreringar) som säkert kan lagra och använda en klienthemlighet för att autentisera tokenutbytet, men PKCE rekommenderas fortfarande som försvar på djupet.
Att tänka på vad gäller affärer och integration
Att tillämpa PKCE kräver att utvecklare uppdaterar sitt programs OAuth-handskakningslogik för att skapa och skicka code_challenge- och code_verifier-parametrarna, vilket kan kräva att äldre mobilbibliotek uppdateras.
Rekommenderad åtgärd
Gå till inställningarna för den anslutna appen i Salesforce och slå på kryssrutan för "Kräv korrekturnyckel för Code Exchange-tillägg (PKCE)."
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar PKCE som en obligatorisk baslinje för alla moderna offentliga integreringar för att täppa till kryphålet för "kodinjektion" och säkerställa identitetsbekräftelse med hög garanti för mobil- och webbanvändare.
