Sie befinden sich hier:
API (OAuth-Einstellungen aktivieren): Geheimnis für Webserver-Flow-Steuerung erforderlich
Diese Steuerung schreibt vor, dass die Client-Anwendung ihr kryptographisch sicheres Client-Geheimnis während des Austauschs eines Autorisierungscodes gegen ein Zugriffstoken zur Überprüfung der Identität des Clients bereitstellt.
Steuerelementname
Verbundene Anwendungen: API (OAuth-Einstellungen aktivieren): Geheimnis für Webserver-Flow erforderlich
Empfohlene Konfiguration
Geheimnis für Webserver-Flow erforderlich.
Steuerelementübersicht
Diese Steuerung schreibt vor, dass die Client-Anwendung ihr kryptographisch sicheres Client-Geheimnis während des Austauschs eines Autorisierungscodes gegen ein Zugriffstoken zur Überprüfung der Identität des Clients bereitstellt.
Sicherheitsrisiko, wenn nicht konfiguriert
Mit dem Webserver-Flow (Autorisierungscode-Gewährung) kann ein Angreifer, der einen temporären Autorisierungscode abfängt, ihn erfolgreich gegen ein langlebiges Zugriffstoken eintauschen, ohne nachweisen zu müssen, dass er den autorisierten Backend-Server kontrolliert.
Bedrohungsszenarien
Ein Gegner fängt einen Autorisierungscode über eine Browserumleitung oder ein Protokollleck ab und führt sofort einen Tokenaustausch über seine eigene Infrastruktur aus, wobei er sich erfolgreich als die legitime Anwendung ausgibt, um Zugriff auf die Daten des Benutzers zu erhalten.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Wenn kein Geheimnis erforderlich ist, werden die Einrichtung nicht autorisierter Sitzungen und die Datenexfiltration erleichtert, wodurch ein temporärer einmaliger Code effektiv in ein persistentes Gateway für die Accountübernahme umgewandelt wird.
Höheres Risiko, wenn
Wenn die Anwendung auf einem freigegebenen Server gehostet wird oder ein benutzerdefiniertes URI-Schema verwendet, das die Wahrscheinlichkeit des Abfangens von Autorisierungscode durch bösartige lokale Anwendungen oder Netzwerk-Proxys erhöht.
Geringes Risiko, wenn
Wenn das Unternehmen PKCE (Proof Key for Code Exchange) als Ausgleichssteuerung implementiert hat, wodurch dem Codeaustauschprozess eine sekundäre dynamische Überprüfungsebene hinzugefügt wird.
Überlegungen zu Unternehmen und Integration
Durch Aktivieren dieser Anforderung können vorhandene Integrationen beschädigt werden, wenn der Drittanbieter-Client falsch konfiguriert wurde, um den geheimen Austausch zu umgehen, oder wenn der clientseitige Code keinen sicheren Zugriff auf das Geheimnis hat.
Empfohlene Sanierung
Navigieren Sie unter "Setup" zu den OAuth-Einstellungen der verbundenen Anwendung und aktivieren Sie das Kontrollkästchen "Geheimnis für Webserver-Flow erforderlich".
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert dies als grundlegende "Vertraulicher Client", sodass sensible CRM-Daten nur für überprüfte serverseitige Anwendungen freigegeben werden, die ihre Anmeldeinformationen schützen können.
