Olet tässä:
API (Ota OAuth-asetukset käyttöön): Vaadi salaisuus verkkopalvelimen kulkujen hallinnalle
Tämä asetus määrittää, että asiakassovellus tarjoaa kryptografisesti vahvan asiakassalaisuutensa, kun valtuutuskoodia vaihdetaan käyttöoikeusvaltuudelle asiakkaan henkilöllisyyden vahvistamiseksi.
Ohjaimen nimi
Yhdistetyt sovellukset: API (Ota OAuth-asetukset käyttöön): Vaadi salaisuus verkkopalvelinkululle
Suositeltu kokoonpano
Vaadi salaisuus verkkopalvelinkululle.
Ohjauksen yleiskatsaus
Tämä asetus määrittää, että asiakassovellus tarjoaa kryptografisesti vahvan asiakassalaisuutensa, kun valtuutuskoodia vaihdetaan käyttöoikeusvaltuudelle asiakkaan henkilöllisyyden vahvistamiseksi.
Tietoturvariski, jos ei määritetty
Web-palvelinkulku (valtuutuskoodin myöntäminen) saattaa sallia hyökkääjän, joka kaappaa väliaikaisen valtuutuskoodin, vaihtaa sen onnistuneesti pitkäaikaiseksi käyttöoikeusvaltuudeksi todentamatta, että hän hallitsee valtuutettua taustapalvelinta.
Uhkien skenaariot
Vastustaja kaappaa valtuutuskoodin selaimen uudelleenohjauksen tai lokien vuotojen kautta ja suorittaa välittömästi valtuuksien vaihdon omasta infrastruktuuristaan, joka onnistuu esittelemään oikeutettua sovellusta saadakseen pääsyn käyttäjän tietoihin.
Arvioitu CVSS-pistealue
Kriittinen (9.0–10.0).
Riskien vaikutuksissa huomioitavia asioita
Salaisuuden vaatimattomuus helpottaa valtuuttamattoman istunnon luomista ja tietojen suodattamista, mikä tekee väliaikaisesta kertakäyttöisestä koodista pysyvän yhdyskäytävän tilien vastaanottamiseen.
Korkeampi riski, kun
Kun sovellus isännöidään jaetulla palvelimella tai käyttää mukautettua URI-skeemaa, joka lisää todennäköisyyttä, että paikalliset haitalliset sovellukset tai verkkovälityspalvelimet kaappaavat valtuutuskoodin.
Matalan riskin milloin
Jos yhtiö on ottanut käyttöön korvaavan ohjaimen PKCE:n (Proof Key for Code Exchange), joka lisää koodinvaihtoprosessiin toissijaisen dynaamisen vahvistuskerroksen.
Liiketoiminnassa ja integraatiossa huomioitavia asioita
Tämän vaatimuksen ottaminen käyttöön saattaa rikkoa olemassa olevia integraatioita, jos kolmannen osapuolen asiakassovellus määritettiin väärin piilottamaan salaisuuden vaihto tai jos asiakassivun koodilla ei ole suojattua pääsyä salaisuuteen.
Suositeltu korjaus
Avaa Määritykset-valikon Yhdistetyn sovelluksen OAuth-asetukset -valintaruutu ja valitse "Väitä salaisuus verkkopalvelinkululle" -valintaruutu.
Tietoturvan terveystarkastuksen ohjeet
Suojauksen terveystarkastus tunnistaa tämän perustavanlaatuiseksi "luottamuksellisten asiakkaiden" vaatimukseksi, jotta luottamukselliset CRM-tiedot vapautetaan vain vahvistetuille palvelinpuolen sovelluksille, jotka voivat suojata heidän tunnuksensa.
