Ti trovi qui:
API (Abilita impostazioni OAuth): Uso delle firme digitali - Selezionato
Questa impostazione di protezione impone l'uso della crittografia asimmetrica richiedendo all'applicazione connessa di firmare le richieste di autenticazione con una chiave privata convalidata.
Nome controllo
Applicazioni connesse: API (Abilita impostazioni OAuth): Uso delle firme digitali - Selezionato
Configurazione consigliata
Usa firme digitali - Selezionato.
Panoramica sul controllo
Questa impostazione di sicurezza impone l'uso della crittografia asimmetrica richiedendo all'applicazione connessa di firmare le richieste di autenticazione con una chiave privata convalidata in base a un certificato pubblico caricato nella piattaforma Salesforce.
Rischio per la sicurezza se non configurato
L'assenza di firme digitali per la verifica dell'accesso alle applicazioni causa una vulnerabilità in cui le asserzioni di identità contraffatte consentono l'impersonificazione non autorizzata delle applicazioni e il potenziale aggiramento della protezione standard basata sulle credenziali.
Scenari di minaccia
Un attore malintenzionato intercetta o indovina un segreto client e tenta di impersonare un'integrazione affidabile per eseguire chiamate API amministrative senza il livello secondario di prova crittografica fornito da un certificato digitale univoco.
Intervallo di punteggi CVSS stimato
Alto (7,0–8,9).
Considerazioni sull'impatto del rischio
La mancata applicazione delle firme digitali facilita l'accesso non autorizzato persistente al livello di dati dell'organizzazione, poiché le credenziali statiche sono significativamente più facili da compromettere e riutilizzare rispetto alle asserzioni firmate di breve durata.
Rischio maggiore quando
Quando all'integrazione vengono concessi ambiti amministrativi o quando l'organizzazione utilizza flussi di autenticazione legacy basati esclusivamente su segreti condivisi trasmessi in rete.
Basso rischio quando
Se l'organizzazione implementa un solido processo di gestione del ciclo di vita del certificato che impone periodi di scadenza brevi e utilizza moduli di sicurezza hardware per proteggere le chiavi private.
Considerazioni su Business e integrazione
Il passaggio alle firme digitali richiede che l'applicazione esterna disponga di un certificato X.509 valido e della capacità di eseguire la firma RSA o ECDSA durante il flusso bearer JWT OAuth.
Rimedio consigliato
Accedere alla sezione API (Abilita impostazioni OAuth) dell'applicazione connessa, selezionare Utilizza firme digitali e caricare il certificato pubblico corrispondente da utilizzare per la verifica dell'identità.
Guida all'esame dello stato della sicurezza
Security Health Review identifica l'imposizione delle firme digitali come uno standard fortemente consigliato per sostituire i segreti condivisi statici con l'autenticazione basata su certificato per impedire l'impersonificazione e garantire l'integrità di tutte le richieste di integrazione.
