Olet tässä:
Ulkoisen asiakassovelluksen OAuth-asetusten määrittäminen: OAuth Scope -pienin käyttöoikeus
ECAs sallivat erittäin tarkkoja OAuth-vaikutusalueita, jotka hallitsevat ECA:n käyttöoikeuksia.
Ohjaimen nimi
Ulkoiset asiakassovellukset: Ulkoisen asiakassovelluksen OAuth-asetusten määrittäminen: OAuth Scope -pienin käyttöoikeus
Suositeltu kokoonpano
OAuth-vaikutusalueet - OAuth-vaikutusalueet määrittävät ulkoisen asiakassovelluksen käyttöoikeudet.
Ohjauksen yleiskatsaus
ECAs sallivat erittäin tarkkoja OAuth-vaikutusalueita, jotka hallitsevat ECA:n käyttöoikeuksia. Näiden rajoittaminen minimoi "räjähdyksen säteen".
Tietoturvariski, jos ei määritetty
Jos OAuth-vaikutusalueiden rajoittaminen epäonnistuu, käyttöoikeus on liian etuoikeutettu, jolloin ulkoiselle sovellukselle myönnetään laajemmat käyttöoikeudet kuin mitä se vaatii. Kompromisoidut sovellukset saavat tarpeettoman pääsyn luottamuksellisiin henkilötietoihin.
Uhkien skenaariot
Hyökkääjä, joka hallitsee Full-vaikutusalueella olevaa valtuutta, voi ohittaa käyttöliittymän rajoitukset poistaakseen tietueita ohjelmallisesti, viedäkseen koko asiakastietokannan tai muokatakseen järjestelmäkokoonpanoja.
Lisäksi ”valtuuksien vuoto” epäsuojatun asiakassivun toteutuksen kautta sallii pahantahtoisten toimijoiden esittää käyttäjää missä tahansa Salesforce API:ssa, eikä vain ulkoiselle sovellukselle tarkoitetuissa ominaisuuksissa.
Arvioitu CVSS-pistealue
Kriittinen (9.0–10.0).
Riskien vaikutuksissa huomioitavia asioita
Räjähdyksen säteen massiivinen laajentuminen tunnusten varastostapahtuman aikana, mikä saattaa muuttaa pienen lokalisoidun rikkomuksen yhtiön datan kokonaismenetykseksi.
Korkeampi riski, kun
Sovelluksille on kohdistettu oletusarvoisesti täydet käyttöoikeudet. Jos sovellus on määritetty "Kaikki käyttäjät voivat valtuuttaa itsensä", salli työntekijöiden tai asiakkaiden myöntää laajoja käyttöoikeuksia tarkastamattomille kolmannen osapuolen työkaluille.
Matalan riskin milloin
Käytä kapeita tai mukautettuja vaikutusalueita, jotka rajoittavat valtuuden tiettyihin, ei-tuhoisiin toimintoihin. OAuth 2.0 -käytännön "Pääkäyttäjien hyväksymät käyttäjät esivaltuutetaan" toteuttaminen vähentää riskiä entisestään varmistamalla, että sovellusta voidaan käyttää vain tietyille profiileille tai käyttöoikeusjoukoille riippumatta pyydetyistä vaikutusalueista.
Liiketoiminnassa ja integraatiossa huomioitavia asioita
Vaatimusten tarkasti määrittäminen vaatii kehittäjien ja arkkitehtien välistä syvällistä koordinointia, jotta jokainen API-kutsu voidaan kartoittaa vaadittuun käyttöoikeuteen, mikä voi pidentää alustavaa kehitysaikaa. Tämä etukäteen tehtävä pyrkimys estää kuitenkin integraation velan, jossa tarkkuuden puute pakottaa sinua myöntämään liian suuren ja rajoittamattoman käyttöoikeuden yksinkertaisiin työkaluihin, mikä luo pitkäaikaisen suojausvelvollisuuden, jota on vaikea ratkaista myöhemmin.
Suositeltu korjaus
Tarkasta ECA:n OAuth-asetukset ja valitse vain liiketoimintatoiminnolle vaaditut tietyt vaikutusalueet (esimerkiksi api, openid).
Tietoturvan terveystarkastuksen ohjeet
Suojauksen terveystarkastus korostaa vähimmäisvaltuuden periaatetta. Arvioi sovelluksen vaatimukset rajoittaaksesi vaikutusalueita (esimerkiksi: "Täysi käyttöoikeus"), joka saattaa muuttaa pienen rikkomuksen katastrofaaliseksi datan häviötapahtumaksi.
