Du är här:
API (Aktivera OAuth-inställningar): Kräv hemlighet för webbserverflöde
Denna kontroll anger att klientprogrammet tillhandahåller sin kryptografiskt starka klienthemlighet under utbytet av en auktoriseringskod mot en åtkomsttoken för att bekräfta klientens identitet.
Kontrollnamn
Anslutna appar: API (Aktivera OAuth-inställningar): Kräv hemlighet för webbserverflöde
Rekommenderad konfiguration
Kräv hemlighet för webbserverflöde.
Kontrollöversikt
Denna kontroll anger att klientprogrammet tillhandahåller sin kryptografiskt starka klienthemlighet under utbytet av en auktoriseringskod mot en åtkomsttoken för att bekräfta klientens identitet.
Säkerhetsrisk om den inte är konfigurerad
Webbserverflödet (Beviljande av auktoriseringskod) kan låta en attackerare som fångar upp en tillfällig auktoriseringskod byta ut den mot en långlivad åtkomsttoken utan att bevisa att de kontrollerar den auktoriserade backendservern.
Hotscenarier
En motståndare fångar upp en auktoriseringskod via en webbläsares omdirigering eller loggläckage och utför omedelbart ett tokenutbyte från sin egen infrastruktur, vilket framgångsrikt utger sig för att vara det legitima programmet för att få åtkomst till användarens data.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
Att misslyckas med att kräva en hemlighet underlättar obehörig sessionsetablering och dataexfiltrering, vilket effektivt förvandlar en tillfällig engångskod till en beständig gateway för kontoövertagande.
Högre risk när
När programmet värdas på en delad server eller använder ett eget URI-schema som ökar sannolikheten för avlyssning av auktoriseringskod av skadliga lokala appar eller nätverksproxy.
Låg risk när
Om företaget har implementerat PKCE (Proof Key for Code Exchange) som en kompensationskontroll, vilket lägger till ett sekundärt dynamiskt lager av verifiering till kodutbytesprocessen.
Att tänka på vad gäller affärer och integration
Att aktivera detta krav kan bryta befintliga integreringar om tredjepartsklienten har konfigurerats felaktigt för att förbigå det hemliga utbytet eller om koden på klientsidan inte har säker åtkomst till hemligheten.
Rekommenderad åtgärd
Gå till OAuth-inställningarna för den anslutna appen i Inställningar och markera kryssrutan för "Kräv hemlighet för webbserverflöde".
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar detta som ett grundläggande "Konfidentiell klient"-krav så att känsliga CRM-data endast släpps till verifierade program på serversidan som kan skydda deras inloggningsuppgifter.
