Sie befinden sich hier:
Konfigurieren der OAuth-Einstellungen der externen Client-Anwendung: Konfigurieren der ID-Token-Steuerung
Dieses Steuerelement definiert die Sicherheitsparameter für Identitätstoken, einschließlich ihrer Lebensdauer, autorisierter Empfänger und der spezifischen Benutzerattribute oder Berechtigungen, die in der Datennutzlast enthalten sind.
Steuerelementname
Externe Client-Anwendungen: Konfigurieren der OAuth-Einstellungen der externen Client-Anwendung: ID-Token konfigurieren
Empfohlene Konfiguration
ID-Token konfigurieren – Tokendauer in Minuten (2 Minuten) | ID-Token-Zielgruppen | Standardansprüche einschließen | Benutzerdefinierte Berechtigungen einschließen | Benutzerdefinierte Attribute.
Steuerelementübersicht
Dieses Steuerelement definiert die Sicherheitsparameter für Identitätstoken, einschließlich ihrer Lebensdauer, autorisierter Empfänger und der spezifischen Benutzerattribute oder Berechtigungen, die in der Datennutzlast enthalten sind.
Sicherheitsrisiko, wenn nicht konfiguriert
Ohne eingeschränkte Tokendauer und definierte Zielgruppe bleibt ein Identitätstoken über einen übermäßigen Zeitraum gültig und kann von nicht autorisierten Drittanbieteranwendungen erneut verwendet werden, um Zugriff auf geschützte Ressourcen zu erhalten.
Bedrohungsszenarien
Ein Angreifer fängt ein langlebiges Identitätstoken über eine Netzwerkschwachstelle ab und verwendet es, um sich als legitimer Benutzer in mehreren integrierten Systemen auszugeben, die die vorgesehene Zielgruppe des Tokens nicht überprüfen.
Geschätzter CVSS-Bewertungsbereich
Hoch (7,0–8,9).
Überlegungen zu Risikoauswirkungen
Wenn Tokenattribute und -dauer nicht eingeschränkt werden, kann es zu persistentem nicht autorisiertem Zugriff und zur unbeabsichtigten Offenlegung von internen Benutzerberechtigungen und benutzerdefinierten Profildaten für externe Serviceanbieter kommen.
Höheres Risiko, wenn
Token werden verwendet, um Single Sign-On für Anwendungen zu erleichtern, die sensible Daten verarbeiten, oder wenn die Token umfassende administrative benutzerdefinierte Berechtigungen enthalten.
Geringes Risiko, wenn
Wenn die externe Anwendung ihre eigene strenge Validierung der Tokensignatur und des Ablaufzeitstempels unabhängig von der Salesforce-Konfiguration durchführt.
Überlegungen zu Unternehmen und Integration
Zum Festlegen einer sehr kurzen Tokendauer (beispielsweise zwei Minuten) muss die externe Anwendung über eine zuverlässige und automatisierte Logik zum Aktualisieren von Identitätsdaten verfügen, um Unterbrechungen der Benutzersitzung zu vermeiden.
Empfohlene Sanierung
Wechseln Sie zu den OAuth-Einstellungen Ihrer externen Client-Anwendung, legen Sie die Token-Dauer auf zwei Minuten fest, geben Sie die URLs für autorisierte Zielgruppen an und wählen Sie die minimal erforderlichen Ansprüche und Attribute aus.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert die genaue Identitätstokenkonfiguration als obligatorischen Standard, damit Benutzeridentitätsdaten vorübergehend sind, auf bestimmte Empfänger ausgerichtet sind und auf die geringste Menge an Informationen beschränkt sind, die für die Authentifizierung erforderlich sind.
