Usted estĆ” aquĆ:
API (Activar configuraciĆ³n de OAuth): Requerir secreto para flujo de servidor web
Este control exige que la aplicaciĆ³n cliente proporcione su secreto de cliente criptogrĆ”ficamente sĆ³lido durante el intercambio de un cĆ³digo de autorizaciĆ³n para un token de acceso para verificar la identidad del cliente.
Nombre de control
Aplicaciones conectadas: API (Activar configuraciĆ³n de OAuth): Requerir secreto para flujo de servidor web
ConfiguraciĆ³n recomendada
Requerir secreto para flujo de servidor web.
DescripciĆ³n general de control
Este control exige que la aplicaciĆ³n cliente proporcione su secreto de cliente criptogrĆ”ficamente sĆ³lido durante el intercambio de un cĆ³digo de autorizaciĆ³n para un token de acceso para verificar la identidad del cliente.
Riesgo de seguridad si no estĆ” configurado
El flujo de servidor web (Otorgamiento de cĆ³digo de autorizaciĆ³n) puede permitir a un atacante que intercepta un cĆ³digo de autorizaciĆ³n temporal intercambiarlo con Ć©xito por un token de acceso duradero sin probar que controla el servidor backend autorizado.
Escenarios de amenazas
Un adversario intercepta un cĆ³digo de autorizaciĆ³n a travĆ©s de un redireccionamiento del navegador o registra fugas e inmediatamente ejecuta un intercambio de tokens desde su propia infraestructura, personificando con Ć©xito la aplicaciĆ³n legĆtima para obtener acceso a los datos del usuario.
Intervalo de puntuaje de CVSS estimado
CrĆtico (9,0 a 10,0).
Consideraciones de impacto de riesgo
No requerir un secreto facilita el establecimiento de sesiones no autorizadas y la exfiltraciĆ³n de datos, convirtiendo efectivamente un cĆ³digo temporal puntual en una pasarela persistente para la toma de posesiĆ³n de cuentas.
Mayor riesgo cuando
Cuando la aplicaciĆ³n estĆ” alojada en un servidor compartido o utiliza un esquema de URI personalizado que aumenta la probabilidad de interceptaciĆ³n de cĆ³digo de autorizaciĆ³n por aplicaciones locales maliciosas o proxies de red.
Bajo riesgo cuando
Si la compaƱĆa implementĆ³ PKCE (Clave de prueba para intercambio de cĆ³digos) como un control de compensaciĆ³n, que agrega una capa dinĆ”mica secundaria de verificaciĆ³n al proceso de intercambio de cĆ³digos.
Consideraciones de negocio e integraciĆ³n
La activaciĆ³n de este requisito puede interrumpir integraciones existentes si el cliente externo se configurĆ³ incorrectamente para omitir el intercambio de secretos o si el cĆ³digo del lado del cliente no tiene acceso seguro al secreto.
RemediaciĆ³n recomendada
Vaya a ConfiguraciĆ³n de OAuth de aplicaciĆ³n conectada en ConfiguraciĆ³n y seleccione la casilla de verificaciĆ³n "Requerir secreto para flujo de servidor web".
Directrices de revisiĆ³n del estado de seguridad
Security Health Review identifica esto como un requisito fundamental de "Cliente confidencial" de modo que los datos confidenciales de CRM solo se publiquen en aplicaciones verificadas del lado del servidor que puedan proteger sus credenciales.
