您位於此處：
設定 OAuth 原則:設定用戶端認證流程原則
此安全性狀況不鼓勵使用「用戶端認證」流程來支援更安全且以使用者內容為基礎的驗證方法。
控制名稱
外部用戶端應用程式:設定 OAuth 原則:設定用戶端認證流程原則
建議組態
設定用戶端認證流程原則。
控制概觀
此安全性狀況不鼓勵使用「用戶端認證」流程來支持更安全且以使用者內容為基礎的驗證方法,以確保所有資料存取都與特定可識別的個人繫結。「用戶端認證」流程會管理「外部用戶端應用程式」能夠使用用戶端識別碼和密碼來驗證和取得存取權杖,而無須人力介入。
未設定安全性風險
使用此流程會造成高資料濫用風險,因為其會略過使用者層級的授權,讓後端服務帳戶能夠透過對整個組織資料集的永久自主存取權來作業。
威脅情況
遭入侵的外部伺服器會使用其儲存的用戶端認證,以程式設計的方式篩選大量記錄或修改重要系統組態,而不會有任何互動式登入或多因素驗證的挑戰。
估計 CVSS 分數範圍
高 (7.0–8.9)。
風險影響考量事項
如果與外部用戶端應用程式相關聯的靜態認證遭到攔截或洩漏,使用過度特權的服務身分會導致缺乏個別責任,並可能導致規模完整的資料缺口。
風險愈高時機
當整合缺少 IP 位址限制和要求率限制時,用戶端認證流程會對應至具有廣泛管理權限的執行使用者。
低度風險時機
如果公司將用戶端認證流程取代為使用唯一數位憑證的 JWT 承載者流程,或將服務帳戶限制為高度窄的權限集和特定網路範圍。
業務與整合考量事項
雖然此流程對於自動化伺服器對伺服器流程更容易實作,但需要嚴格的內部監管流程才能管理服務帳戶的生命週期及其相關聯的權限。
建議的補救措施
評估整合結構,以將用戶端認證流程轉換為更安全的方法,例如 JWT Bearer 流程,並確保將任何剩餘的服務帳戶指派給具有絕對最低必要存取權的專屬執行使用者。
安全性健康檢閱指南
Security Health Review 會根據整合使用個案將這些原則識別為強烈建議,因為避免或嚴格強化這些自動程序有助於確保後端系統以受限制的身分運作,以防止大規模的資料濫用。
