U bent hier:
API (OAuth-instellingen inschakelen): Geheim vereisen voor stroom voor vernieuwen van token
Deze controle vereist dat een vertrouwelijke clienttoepassing het klantgeheim ervan opgeeft wanneer een vernieuwingstoken wordt ingewisseld voor een nieuw toegangstoken om de identiteit van de client te verifiëren.
Controlenaam
Verbonden app: API (OAuth-instellingen inschakelen): Geheim vereisen voor stroom voor vernieuwen van token
Aanbevolen configuratie
Geheim vereisen voor vernieuwingstokenstroom.
Overzicht van besturingselementen
Deze controle vereist dat een vertrouwelijke clienttoepassing het klantgeheim ervan opgeeft wanneer een vernieuwingstoken wordt ingewisseld voor een nieuw toegangstoken om de identiteit van de client te verifiëren.
Beveiligingsrisico indien niet geconfigureerd
Een aanvaller die een vernieuwingstoken steelt, kan voor onbepaalde tijd nieuwe toegangstokens verkrijgen zonder de privégegevens van de toepassing nodig te hebben, waardoor een kritieke authenticatiefactor feitelijk wordt omzeild.
Dreigingsscenario's
Een aanvaller extraheert een vernieuwingstoken uit een gecompromitteerd mobiel apparaat of logboekbestand en gebruikt dit vanaf een afzonderlijke, niet-geverifieerde server om permanente, "headless" toegang tot de Salesforce-gegevens van de gebruiker te behouden.
Geschatte CVSS-scorebereik
Kritiek (9,0–10,0).
Overwegingen bij risico-impact
Het niet vereisen van een geheim maakt langdurige, onopgemerkte persistentie binnen de omgeving mogelijk, waardoor de duur van een gegevensinbreuk aanzienlijk langer wordt dan de levensduur van de initiële sessie.
Hoger risico wanneer
Vernieuwingstokens hebben geen vervaldatum of wanneer de verbonden app is gekoppeld aan integratiegebruikers met hoge machtigingen die toegang hebben tot gevoelige persoonsgegevens of systeemmetagegevens.
Laag risico wanneer
Als Rotatie van vernieuwingstoken is ingeschakeld, zorgt dit ervoor dat gestolen vernieuwingstokens onmiddellijk na het eerste ongeoorloofde gebruik onbruikbaar worden.
Overwegingen bij bedrijf en integratie
Het afdwingen van deze vereiste kan verouderde integraties of mobiele apps verbreken die niet zijn ontworpen voor het opslaan of verzenden van een clientgeheim tijdens het proces van achtergrondvernieuwing.
Aanbevolen oplossing
Ga naar de OAuth-instellingen van de verbonden app en schakel het selectievakje "Geheim vereisen voor stroom vernieuwingstoken" in.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert deze controle als een essentiële verdediging tegen sessiecontinuïteit, zodat een gestolen token alleen onvoldoende is om een permanente achterdeur naar de organisatie te behouden.
