Lightning Login para inicios de sesión sin contraseña

Nombre de control

Lightning Login para inicio de sesión sin contraseña

Configuración recomendada

Cuando Lightning Login está activado, permita solo para usuarios con el permiso de usuario Lightning Login configurado en el perfil de usuario: Restricción Configuración Lightning Login: Configuración>Configuración de sesión>Cuando se permite Lightning Login activado>Establezca Permitir solo para usuarios con el permiso de usuario Lightning Login como activado.

Descripción general de control

El objetivo de control de restringir Lightning Login solo a usuarios con el permiso específico "Lightning Login User" es garantizar que la autenticación sin contraseña se implemente como un método de acceso granular y privilegiado en vez de un valor predeterminado de toda la organización. Esto garantiza que solo el personal autorizado que haya sido examinado y asignado el perfil de seguridad apropiado pueda omitir el ingreso de contraseña tradicional, minimizando así la superficie de ataque y evitando la inscripción no autorizada o accidental en autenticación basada en datos biométricos por la población de usuarios general. Esto se reduce cuando se implementa SSO, sin embargo, como SSO puede no aplicarse a todos los perfiles, cuando Lightning Login está activado, los perfiles que no están configurados con Activar SSO tendrán Lightning Login activado.

Riesgo de seguridad si no está configurado

Mayor riesgo de acceso por atacantes no autorizados que comprometieron temporalmente la sesión de un usuario para vincular un dispositivo erróneo, creando una ruta persistente de alta seguridad que omite las políticas de contraseña tradicionales y hace que la cuenta sea significativamente más difícil de volver a proteger.

Escenarios de amenazas

Un atacante que ha secuestrado brevemente la sesión de un usuario (o un usuario malintencionado en un portátil desatendido) inscribe su propio dispositivo con capacidad biométrica para Lightning Login porque la función no está restringida por permisos de usuario específicos. Una vez inscrito, el atacante puede omitir todas las solicitudes de contraseña futuras para obtener acceso persistente y de alta velocidad a la organización de Salesforce, creando de manera efectiva una puerta trasera permanente e imposible de rastrear en datos confidenciales.

Intervalo de puntuaje de CVSS estimado

Crítico (9,0 a 10,0).

Consideraciones de impacto de riesgo

La gravedad del riesgo depende del tamaño de la población de usuarios y los privilegios de acceso otorgados al iniciar sesión.

Mayor riesgo cuando

• La autenticación de usuario centralizada (como SSO) no está establecida
• La verificación de identidad de usuario no está establecida (MFA u otros)
• Para usuarios administradores, la cuenta de cristal roto no se gestiona en un depósito seguro

Bajo o ningún riesgo cuando

Cuando Lightning Login a nivel de organización no está activado Este control puede considerarse de bajo riesgo cuando se implementa una o más de las siguientes acciones:

• Aplicación de MFA o verificación de identidad está vigente: MFA se aplica para usuarios de Salesforce
• SSO está vigente para todos los usuarios: La autenticación centralizada se aplica para todos los perfiles de usuario
• La cuenta de Break Glass está protegida: Las cuentas de usuarios administradores están excluidas de SSO, pero protegidas en un depósito de gestión de cuentas con privilegios
• Restricción de inicio de sesión de IP en la capa de red: Restricción de inicio de sesión de IP para usuarios con privilegios para modificar la configuración

Consideraciones de negocio e integración

Los clientes deben evaluar usuarios que pueden iniciar sesión utilizando credenciales y minimizar el inicio de sesión directo con credenciales.

Remediación recomendada

Aplique restricciones Lightning Login a usuarios autorizados con permiso Lightning Login.

Directrices de revisión del estado de seguridad

Security Health Review evalúa la configuración Lightning Login garantizando que cuando se activa, Lightning Login está configurado para permitir solo usuarios autorizados o usuarios con el permiso Lightning Login. En alineación con cero prácticas de Trust y menos privilegios para proteger la plataforma.