U bent hier:
Configureer de OAuth-instellingen van de externe clientapp: Minste machtiging voor OAuth-bereik
ECA's maken zeer gedetailleerde OAuth-bereiken mogelijk, die machtigingen voor de ERK bepalen.
Controlenaam
Externe clientapps: Configureer de OAuth-instellingen van de externe clientapp: Minste machtiging voor OAuth-bereik
Aanbevolen configuratie
OAuth-bereiken - OAuth-bereiken definiëren machtigingen voor de externe clientapp.
Overzicht van besturingselementen
ECA's maken zeer gedetailleerde OAuth-bereiken mogelijk, die machtigingen voor de ERK bepalen. Als je deze beperkt, verklein je de straal.
Beveiligingsrisico indien niet geconfigureerd
Als u OAuth-bereiken niet beperkt, krijgt een externe toepassing te veel machtigingen dan nodig is om te functioneren. Gecompromitteerde apps krijgen onnodig toegang tot gevoelige persoonsgegevens.
Dreigingsscenario's
Een aanvaller die controle krijgt over een token met het bereik Full, kan UI-beperkingen omzeilen om programmatisch records te verwijderen, complete klantendatabases te exporteren of systeemconfiguraties te wijzigen.
Daarnaast kan een "tokenlek" via een onveilige implementatie aan clientzijde kwaadwillende actoren de gebruiker imiteren binnen elke Salesforce-API, niet alleen de specifieke voorzieningen die zijn bedoeld voor de externe app.
Geschatte CVSS-scorebereik
Kritiek (9,0–10,0).
Overwegingen bij risico-impact
Enorme uitbreiding van de straal van de ontploffing tijdens een event van inloggegevensdiefstal, waardoor een kleine gelokaliseerde inbreuk potentieel kan leiden tot volledig verlies van bedrijfsgegevens.
Hoger risico wanneer
Aan apps wordt standaard "Volledige toegang" toegewezen. Als de app is geconfigureerd voor "Alle gebruikers mogen zichzelf autoriseren", waardoor elke medewerker of klant brede machtigingen kan verlenen aan niet-onderzochte tools van derden.
Laag risico wanneer
Gebruik smalle of aangepaste bereiken die het token beperken tot specifieke, niet-destructieve acties. Het implementeren van OAuth 2.0-beleid "Door beheerder goedgekeurde gebruikers zijn vooraf geautoriseerd" vermindert het risico verder door ervoor te zorgen dat alleen specifieke profielen of machtigingensets de app kunnen gebruiken, ongeacht de bereiken die worden aangevraagd.
Overwegingen bij bedrijf en integratie
Het strikt definiëren van bereiken vereist diepgaande coördinatie tussen ontwikkelaars en architecten om elke API-aanroep toe te wijzen aan de vereiste machtiging, wat de initiële ontwikkeltijd kan verlengen. Deze inspanning vooraf voorkomt echter integratieschulden, waarbij een gebrek aan fijnkorreligheid u dwingt buitensporige, onbeperkte toegang tot eenvoudige tools te verlenen, waardoor een langdurige beveiligingsaansprakelijkheid ontstaat die later moeilijk te ontwarren is.
Aanbevolen oplossing
Controleer de OAuth-instellingen van de ERK en selecteer alleen de specifieke bereiken (bijvoorbeeld api, openid) die vereist zijn voor de bedrijfsfunctie.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand benadrukt het principe van de minste rechten. Evalueer appvereisten om bereiken te beperken (bijvoorbeeld: "Volledige toegang") die een kleine inbreuk kan veranderen in een catastrofale gebeurtenis voor gegevensverlies.
