breadcrumbDescription
API (Aktiver OAuth-indstillinger): Kræv hemmelighed for webserverforløb
Denne kontrol kræver, at klientapplikationen leverer sin kryptografisk stærke klienthemmelighed under udvekslingen af en autorisationskode for et adgangstoken for at bekræfte klientens identitet.
Kontrolnavn
Tilsluttede apps: API (Aktiver OAuth-indstillinger): Kræv hemmelighed for webserverforløb
Anbefalet konfiguration
Kræv hemmelighed for webserverforløb.
Kontroller oversigt
Denne kontrol kræver, at klientapplikationen leverer sin kryptografisk stærke klienthemmelighed under udvekslingen af en autorisationskode for et adgangstoken for at bekræfte klientens identitet.
Sikkerhedsrisiko, hvis den ikke er konfigureret
Webserverforløbet (godkendelseskodetildeling) kan tillade en angriber, der opfanger en midlertidig autorisationskode, at udveksle den til et adgangstoken med lang levetid uden at bevise, at vedkommende kontrollerer den godkendte backendserver.
Trusselscenarier
En modstander opfanger en autorisationskode via en browseromdirigering eller en loglækage og udfører straks en tokenudveksling fra sin egen infrastruktur, der med succes foregiver den lovlige applikation for at få adgang til brugerens data.
Estimeret CVSS-scoringsinterval
Kritisk (9,0-10,0).
Overvejelser i forbindelse med risikopåvirkning
Hvis der ikke kræves en hemmelighed, gøres det nemmere at etablere uautoriserede sessioner og udfiltrere data, hvilket effektivt omdanner en midlertidig engangskode til en vedvarende gateway til kontoovertagelse.
Højere risiko når
Når applikationen hostes på en delt server eller bruger en tilpasset URI-skema, der øger sandsynligheden for, at autorisationskode opfanges af ondsindede lokale apps eller netværksproxyer.
Lav risiko når
Hvis firmaet har implementeret PKCE (Proof Key for Code Exchange) som en kompenserende kontrol, som føjer et sekundært dynamisk lag af bekræftelse til kodeudvekslingsprocessen.
Overvejelser i forbindelse med forretning og integration
Aktivering af dette krav kan afbryde eksisterende integrationer, hvis tredjepartsklienten er forkert konfigureret til at tilsidesætte den hemmelige udveksling, eller hvis koden på klientsiden ikke har sikker adgang til hemmeligheden.
Anbefalet rettelse
Gå til OAuth-indstillinger for tilsluttet app i Opsætning, og marker afkrydsningsfeltet for "Kræv hemmelighed for webserverforløb".
Vejledning til sikkerhedstilstandsgennemgang
Sikkerhedstilstandscheck identificerer dette som et grundlæggende "fortrolig klient"-krav, så følsomme CRM-data kun frigives til bekræftede serverapplikationer, der kan beskytte deres legitimationsoplysninger.
