U bent hier:
API (OAuth-instellingen inschakelen): Geheim vereisen voor webserverstroomregeling
Deze controle vereist dat de clienttoepassing het cryptografisch sterke klantgeheim opgeeft tijdens de uitwisseling van een autorisatiecode voor een toegangstoken om de identiteit van de client te verifiëren.
Controlenaam
Verbonden apps: API (OAuth-instellingen inschakelen): Geheim vereisen voor webserverstroom
Aanbevolen configuratie
Geheim vereisen voor webserverstroom.
Overzicht van besturingselementen
Deze controle vereist dat de clienttoepassing het cryptografisch sterke klantgeheim opgeeft tijdens de uitwisseling van een autorisatiecode voor een toegangstoken om de identiteit van de client te verifiëren.
Beveiligingsrisico indien niet geconfigureerd
Met de webserverstroom (autorisatiecode verlenen) kan een aanvaller die een tijdelijke autorisatiecode onderschept, deze met succes inruilen voor een lang geldig toegangstoken zonder te bewijzen dat deze de geautoriseerde back-endserver beheert.
Dreigingsscenario's
Een tegenstander onderschept een autorisatiecode via een browseromleiding of logboeklekkage en voert onmiddellijk een tokenuitwisseling uit vanuit de eigen infrastructuur, waarbij hij zich met succes voordoet als de legitieme toepassing om toegang te krijgen tot de gegevens van de gebruiker.
Geschatte CVSS-scorebereik
Kritiek (9,0–10,0).
Overwegingen bij risico-impact
Het niet vereisen van een geheim vergemakkelijkt het zonder toestemming tot stand brengen van sessies en het exfiltreren van gegevens, waardoor een tijdelijke, eenmalige code in feite wordt omgezet in een persistente gateway voor accountovername.
Hoger risico wanneer
Wanneer de toepassing wordt gehost op een gedeelde server of een aangepast URI-schema gebruikt dat de kans vergroot dat autorisatiecode wordt onderschept door kwaadwillende lokale apps of netwerkproxy's.
Laag risico wanneer
Als het bedrijf PKCE (Proof Key for Code Exchange) heeft geïmplementeerd als compenserende controle, die een secundaire dynamische verificatielaag toevoegt aan het codeuitwisselingsproces.
Overwegingen bij bedrijf en integratie
Het inschakelen van deze vereiste kan bestaande integraties verbreken als de externe client onjuist is geconfigureerd om de geheime uitwisseling te omzeilen of als de code aan de clientzijde geen beveiligde toegang tot het geheim heeft.
Aanbevolen oplossing
Ga naar de OAuth-instellingen van de verbonden app in Set-up en schakel het selectievakje "Geheim vereisen voor webserverstroom" in.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert dit als een fundamentele vereiste voor "Vertrouwelijke client", zodat gevoelige CRM-gegevens alleen worden vrijgegeven aan geverifieerde toepassingen aan serverzijde die hun inloggegevens kunnen beschermen.
