Usted estĆ” aquĆ:
API (Activar configuraciĆ³n de OAuth): Utilizar firmas digitales: Seleccionado
Esta configuraciĆ³n de seguridad requiere el uso de criptografĆa asimĆ©trica requiriendo que la aplicaciĆ³n conectada firme solicitudes de autenticaciĆ³n con una clave privada validada.
Nombre de control
Aplicaciones conectadas: API (Activar configuraciĆ³n de OAuth): Utilizar firmas digitales: Seleccionado
ConfiguraciĆ³n recomendada
Utilizar firmas digitales: Seleccionado.
DescripciĆ³n general de control
Esta configuraciĆ³n de seguridad requiere el uso de criptografĆa asimĆ©trica requiriendo que la aplicaciĆ³n conectada firme solicitudes de autenticaciĆ³n con una clave privada validada con un certificado pĆŗblico cargado en Salesforce Platform.
Riesgo de seguridad si no estĆ” configurado
La ausencia de firmas digitales para la verificaciĆ³n del acceso a la aplicaciĆ³n conduce a una vulnerabilidad donde las afirmaciones de identidad falsificadas permiten la suplantaciĆ³n de identidad no autorizada de la aplicaciĆ³n y el posible omisiĆ³n de la seguridad basada en credenciales estĆ”ndar.
Escenarios de amenazas
Un actor malicioso intercepta o adivina un secreto de cliente e intenta hacerse pasar por una integraciĆ³n de confianza para ejecutar llamadas de API administrativas sin la capa secundaria de prueba criptogrĆ”fica proporcionada por un certificado digital exclusivo.
Intervalo de puntuaciĆ³n de CVSS estimado
Alto (7,0ā8,9).
Consideraciones sobre el impacto del riesgo
No aplicar firmas digitales facilita el acceso no autorizado persistente al nivel de datos de la organizaciĆ³n, ya que las credenciales estĆ”ticas son significativamente mĆ”s fĆ”ciles de comprometer y reutilizar que las afirmaciones firmadas de corta duraciĆ³n.
Riesgo mƔs alto cuando
Cuando se otorgan Ć”mbitos administrativos a la integraciĆ³n o cuando la organizaciĆ³n utiliza flujos de autenticaciĆ³n heredados que se basan Ćŗnicamente en secretos compartidos transmitidos a travĆ©s de la red.
Bajo riesgo cuando
Si la organizaciĆ³n implementa un proceso de gestiĆ³n del ciclo de vida de certificados sĆ³lido que aplica periodos de caducidad cortos y utiliza mĆ³dulos de seguridad de hardware para proteger llaves privadas.
Consideraciones comerciales y de integraciĆ³n
La transiciĆ³n a firmas digitales requiere que la aplicaciĆ³n externa posea un certificado X.509 vĆ”lido y la capacidad de realizar firmas RSA o ECDSA durante el flujo de soporte JWT de OAuth.
RemediaciĆ³n recomendada
Vaya a la secciĆ³n API (Activar configuraciĆ³n de OAuth) de la aplicaciĆ³n conectada, seleccione Utilizar firmas digitales y cargue el certificado pĆŗblico correspondiente para su uso en la verificaciĆ³n de identidad.
Directrices de revisiĆ³n del estado de seguridad
Security Health Review identifica la aplicaciĆ³n de firmas digitales como un estĆ”ndar altamente recomendado para sustituir secretos compartidos estĆ”ticos por autenticaciĆ³n basada en certificados para evitar la suplantaciĆ³n de identidad y garantizar la integridad de todas las solicitudes de integraciĆ³n.
