Usted estĆ” aquĆ:
API (Activar configuraciĆ³n de OAuth): Requerir secreto para el control de flujo de servidor web
Este control requiere que la aplicaciĆ³n cliente proporcione su secreto de cliente criptogrĆ”ficamente sĆ³lido durante el intercambio de un cĆ³digo de autorizaciĆ³n para un token de acceso para verificar la identidad del cliente.
Nombre de control
Aplicaciones conectadas: API (Activar configuraciĆ³n de OAuth): Requerir secreto para flujo de servidor web
ConfiguraciĆ³n recomendada
Requerir secreto para flujo de servidor web.
DescripciĆ³n general de control
Este control requiere que la aplicaciĆ³n cliente proporcione su secreto de cliente criptogrĆ”ficamente sĆ³lido durante el intercambio de un cĆ³digo de autorizaciĆ³n para un token de acceso para verificar la identidad del cliente.
Riesgo de seguridad si no estĆ” configurado
El flujo de servidor web (Otorgamiento de cĆ³digo de autorizaciĆ³n) puede permitir a un atacante que intercepta un cĆ³digo de autorizaciĆ³n temporal intercambiarlo con Ć©xito por un token de acceso duradero sin probar que controla el servidor backend autorizado.
Escenarios de amenazas
Un adversario intercepta un cĆ³digo de autorizaciĆ³n a travĆ©s de un redireccionamiento del navegador o registra fugas e inmediatamente ejecuta un intercambio de tokens desde su propia infraestructura, personificando con Ć©xito la aplicaciĆ³n legĆtima para obtener acceso a los datos del usuario.
Intervalo de puntuaciĆ³n de CVSS estimado
CrĆtico (9,0 a 10,0).
Consideraciones sobre el impacto del riesgo
No requerir un secreto facilita el establecimiento de sesiones no autorizadas y la exfiltraciĆ³n de datos, convirtiendo de forma efectiva un cĆ³digo temporal simultĆ”neo en una pasarela persistente para la apropiaciĆ³n de cuentas.
Riesgo mƔs alto cuando
Cuando la aplicaciĆ³n estĆ” alojada en un servidor compartido o utiliza un esquema de URI personalizado que aumenta la posibilidad de interceptaciĆ³n de cĆ³digos de autorizaciĆ³n por aplicaciones locales maliciosas o proxys de red.
Bajo riesgo cuando
Si la empresa implementĆ³ PKCE (Clave de prueba para intercambio de cĆ³digos) como un control de compensaciĆ³n, que agrega una capa dinĆ”mica secundaria de verificaciĆ³n al proceso de intercambio de cĆ³digos.
Consideraciones comerciales y de integraciĆ³n
La activaciĆ³n de este requisito puede interrumpir integraciones existentes si el cliente externo se configurĆ³ incorrectamente para omitir el intercambio de secretos o si el cĆ³digo del lado del cliente no tiene acceso seguro al secreto.
RemediaciĆ³n recomendada
Vaya a ConfiguraciĆ³n de OAuth de aplicaciĆ³n conectada en ConfiguraciĆ³n y seleccione la casilla de verificaciĆ³n para "Requerir secreto para flujo de servidor web".
Directrices de revisiĆ³n del estado de seguridad
Security Health Review identifica esto como un requisito fundamental de "Cliente confidencial" de modo que los datos confidenciales de CRM solo se publiquen en aplicaciones verificadas del lado del servidor que puedan proteger sus credenciales.
