Du er her:
API (Aktiver OAuth-innstillinger): Krever hemmelighet for webserverflyt
Denne kontrollen krever at klientprogrammet oppgir sin kryptografisk sterke klienthemmelighet under utvekslingen av en godkjenningskode for et tilgangstoken for å bekrefte klientens identitet.
Navn på kontroll
Tilkoblede apper: API (Aktiver OAuth-innstillinger): Krever hemmelighet for webserverflyt
Anbefalt konfigurasjon
Krev hemmelighet for nettserverflyt.
Oversikt over kontroll
Denne kontrollen krever at klientprogrammet oppgir sin kryptografisk sterke klienthemmelighet under utvekslingen av en godkjenningskode for et tilgangstoken for å bekrefte klientens identitet.
Sikkerhetsrisiko hvis ikke konfigurert
Nettserverflyten (godkjenningskodetildeling) kan tillate at en angriper som fanger opp en midlertidig godkjenningskode, lykkes med å bytte den mot et langvarig tilgangstoken uten å bevise at de kontrollerer den godkjente serveren.
Trusselscenarier
En motstander fanger opp en godkjenningskode via en nettleseromdirigering eller logglekkasje, og utfører umiddelbart en tokenutveksling fra sin egen infrastruktur, slik at det lykkes å uttrykke det legitime programmet for å få tilgang til brukerens data.
Beregnet CVSS Score-område
Kritisk (9.0–10.0).
Viktige punkter om risikoinnvirkning
Hvis det ikke kreves en hemmelighet, blir det enklere å opprette uautoriserte økter og eksfiltrere data, noe som effektivt gjør en midlertidig engangskode til en vedvarende gateway for kontoovertakelse.
Høyere risiko når
Når programmet befinner seg på en delt server eller bruker et tilpasset URI-skjema som øker sannsynligheten for oppfanging av godkjenningskode av skadelige lokale apper eller nettverksproxyer.
Lav risiko når
Hvis firmaet har implementert PKCE (Proof Key for Code Exchange) som kompenserende kontroll, som legger til et sekundært dynamisk bekreftelseslag i kodeutvekslingsprosessen.
Viktige punkter om virksomheten og integrasjonen
Aktivering av dette kravet kan bryte eksisterende integrasjoner hvis tredjepartsklienten ble feil konfigurert til å omgå den hemmelige utvekslingen, eller hvis klientsidekoden ikke har sikker tilgang til hemmeligheten.
Anbefalt rettelse
Gå til OAuth-innstillingene for den tilkoblede appen i Oppsett, og merk av for Krev hemmelighet for nettserverflyt.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer dette som et grunnleggende "Konfidensiell klient"-krav slik at sensitive CRM-data bare frigis til bekreftede, serversidede programmer som kan beskytte legitimasjonen deres.
