Usted estĆ” aquĆ:
API (Activar configuraciĆ³n de OAuth): Utilizar firmas digitales: control seleccionado
Esta configuraciĆ³n de seguridad exige el uso de criptografĆa asimĆ©trica requiriendo que la aplicaciĆ³n conectada firme solicitudes de autenticaciĆ³n con una clave privada validada.
Nombre de control
Aplicaciones conectadas: API (Activar configuraciĆ³n de OAuth): Utilizar firmas digitales: seleccionadas
ConfiguraciĆ³n recomendada
Utilizar firmas digitales: seleccionadas.
DescripciĆ³n general de control
Esta configuraciĆ³n de seguridad exige el uso de criptografĆa asimĆ©trica requiriendo que la aplicaciĆ³n conectada firme solicitudes de autenticaciĆ³n con una clave privada validada con un certificado pĆŗblico cargado en Salesforce Platform.
Riesgo de seguridad si no estĆ” configurado
La ausencia de firmas digitales para la verificaciĆ³n del acceso a la aplicaciĆ³n lleva a una vulnerabilidad donde las afirmaciones de identidad falsificadas permiten la imitaciĆ³n de aplicaciones no autorizada y el posible omisiĆ³n de la seguridad basada en credenciales estĆ”ndar.
Escenarios de amenazas
Un actor malicioso intercepta o adivina un secreto de cliente e intenta imitar una integraciĆ³n de confianza para ejecutar llamadas de API administrativas sin la capa secundaria de prueba criptogrĆ”fica proporcionada por un certificado digital exclusivo.
Intervalo de puntuaje de CVSS estimado
Alto (7,0 a 8,9).
Consideraciones de impacto de riesgo
No aplicar firmas digitales facilita el acceso no autorizado persistente al nivel de datos de la organizaciĆ³n, ya que las credenciales estĆ”ticas son significativamente mĆ”s fĆ”ciles de comprometer y reutilizar que las afirmaciones firmadas de corta duraciĆ³n.
Mayor riesgo cuando
Cuando se otorgan Ć”mbitos administrativos a la integraciĆ³n o cuando la organizaciĆ³n utiliza flujos de autenticaciĆ³n heredados que se basan Ćŗnicamente en secretos compartidos transmitidos a travĆ©s de la red.
Bajo riesgo cuando
Si la organizaciĆ³n implementa un proceso de gestiĆ³n del ciclo de vida de certificados sĆ³lido que aplica periodos de caducidad cortos y utiliza mĆ³dulos de seguridad de hardware para proteger claves privadas.
Consideraciones de negocio e integraciĆ³n
La transiciĆ³n a firmas digitales requiere que la aplicaciĆ³n externa posea un certificado X.509 vĆ”lido y la capacidad de realizar firmas RSA o ECDSA durante el flujo de soporte JWT de OAuth.
RemediaciĆ³n recomendada
Vaya a la secciĆ³n API (Activar configuraciĆ³n de OAuth) de la aplicaciĆ³n conectada, seleccione Utilizar firmas digitales y cargue el certificado pĆŗblico correspondiente que se utilizarĆ” para la verificaciĆ³n de identidad.
Directrices de revisiĆ³n del estado de seguridad
Security Health Review identifica la aplicaciĆ³n forzosa de firmas digitales como un estĆ”ndar altamente recomendado para sustituir secretos compartidos estĆ”ticos por autenticaciĆ³n basada en certificados para evitar la imitaciĆ³n y garantizar la integridad de todas las solicitudes de integraciĆ³n.
