Olet tässä:
API (Ota OAuth-asetukset käyttöön): Vaadi salaisuus päivitysvaltuuden kululle
Tämä asetus määrittää, että luottamuksellisen asiakassovelluksen täytyy antaa asiakassalaisuus, kun päivitysvaltuus vaihdetaan uudelle käyttöoikeusvaltuudelle asiakassovelluksen henkilöllisyyden vahvistamiseksi.
Ohjaimen nimi
Yhdistetty sovellus: API (Ota OAuth-asetukset käyttöön): Vaadi salaisuus päivitysvaltuuden kululle
Suositeltu kokoonpano
Vaadi salaisuus päivitysvaltuuden kululle.
Ohjauksen yleiskatsaus
Tämä asetus määrittää, että luottamuksellisen asiakassovelluksen täytyy antaa asiakassalaisuus, kun päivitysvaltuus vaihdetaan uudelle käyttöoikeusvaltuudelle asiakassovelluksen henkilöllisyyden vahvistamiseksi.
Tietoturvariski, jos ei määritetty
Päivitysvaltuuden varastava hyökkääjä voi hankkia uusia käyttöoikeusvaltuuksia määrittämättömästi tarvitsematta sovelluksen yksityisiä tunnuksia, mikä ohittaa kriittisen todennustekijän tehokkaasti.
Uhkien skenaariot
Hyökkääjä noutaa päivitysvaltuuden vaarantuneesta mobiililaitteesta tai lokitiedostosta ja käyttää sitä erilliseltä, valtuuttamattomalta palvelimelta ylläpitääkseen käyttäjän Salesforce-datan pysyvää käyttöoikeutta ilman päätä.
Arvioitu CVSS-pistealue
Kriittinen (9.0–10.0).
Riskien vaikutuksissa huomioitavia asioita
Salaisuuden vaatimattomuus mahdollistaa pitkäaikaisen, havaitsemattoman säilymisen ympäristössä, mikä pidentää datan rikkomuksen kestoa merkittävästi alkuperäisen istunnon keston ulkopuolelle.
Korkeampi riski, kun
Päivitysvaltuuksilla ei ole vanhentumispäivää tai kun yhdistetty sovellus on liitetty korkean käyttöoikeuden integraatiokäyttäjiin, jotka voivat käyttää luottamuksellisia henkilötietoja tai järjestelmämetadataa.
Matalan riskin milloin
Jos Päivitysvaltuuden kierrättäminen -asetus on käytössä, sillä se varmistaa, että kaikki varastetut päivitysvaltuudet muuttuvat käyttökelvottomiksi välittömästi sen ensimmäisen valtuuttamattoman käytön jälkeen.
Liiketoiminnassa ja integraatiossa huomioitavia asioita
Tämän vaatimuksen noudattaminen saattaa rikkoa vanhoja integraatioita tai mobiilisovelluksia, joita ei ole suunniteltu tallentamaan tai lähettämään asiakassalaisuutta taustapäivitysprosessin aikana.
Suositeltu korjaus
Avaa yhdistetyn sovelluksen OAuth-asetukset ja valitse "Väitä salaisuus päivitysvaltuuden kululle" -valintaruutu.
Tietoturvan terveystarkastuksen ohjeet
Tietoturvan terveystarkastus tunnistaa tämän ohjaimen elintärkeäksi puolustukseksi istunnon säilyttämistä vastaan, joten pelkkä varastettu valtuus ei riitä ylläpitämään pysyvää taustaovellusta organisaatioon.
