U bent hier:
Lightning Login voor controle over inloggen zonder wachtwoord
Het doel van het beperken van Lightning Login tot alleen gebruikers met de specifieke machtiging "Lightning Login User" is ervoor te zorgen dat authenticatie zonder wachtwoord wordt geïmplementeerd als een bevoorrechte, fijnmazige toegangsmethode in plaats van een standaardinstelling voor de hele organisatie.
Controlenaam
Lightning Login voor inloggen zonder wachtwoord
Aanbevolen configuratie
Wanneer Lightning Login is ingeschakeld, alleen toestaan voor gebruikers met de Lightning Login gebruikersmachtiging geconfigureerd in het gebruikersprofiel: Beperking Lightning Login instellen: Set-up>Sessie-instellingen>Wanneer Lightning Login toestaan ingeschakeld>Stel de machtiging Alleen toestaan voor gebruikers met Lightning Login in op ingeschakeld.
Overzicht van besturingselementen
Het doel van het beperken van Lightning Login tot alleen gebruikers met de specifieke machtiging "Lightning Login User" is ervoor te zorgen dat authenticatie zonder wachtwoord wordt geïmplementeerd als een bevoorrechte, fijnmazige toegangsmethode in plaats van een standaardinstelling voor de hele organisatie. Dit zorgt ervoor dat alleen geautoriseerd personeel aan wie het juiste beveiligingsprofiel is doorgelicht en toegewezen, de traditionele wachtwoordinvoer kan omzeilen, waardoor het aanvalsoppervlak wordt geminimaliseerd en ongeoorloofde of abusievelijke registratie bij op biometrische authenticatie door de algemene gebruikerspopulatie wordt voorkomen. Dit wordt echter verminderd wanneer SSO wordt geïmplementeerd, aangezien SSO mogelijk niet op alle profielen wordt toegepast. Wanneer Lightning Login is ingeschakeld, wordt Lightning Login ingeschakeld voor profielen die niet zijn geconfigureerd met SSO inschakelen.
Beveiligingsrisico indien niet geconfigureerd
Verhoogd risico op toegang door onbevoegde aanvallers die tijdelijk de sessie van een gebruiker hebben gecompromitteerd om een malafide apparaat te koppelen, waardoor een aanhoudend traject met grote zekerheid ontstaat dat traditioneel wachtwoordbeleid omzeilt en de account aanzienlijk moeilijker opnieuw te beveiligen maakt.
Dreigingsscenario's
Een aanvaller die de sessie van een gebruiker—of een kwaadwillende insider op een onbewaakte laptop—kort heeft gekaapt, registreert zijn of haar eigen apparaat met biometrische mogelijkheden voor Lightning Login omdat de voorziening niet wordt beperkt door specifieke gebruikersmachtigingen. Eenmaal geregistreerd, kan de aanvaller alle toekomstige wachtwoordaanwijzingen omzeilen om aanhoudende, snelle toegang tot de Salesforce-organisatie te krijgen, waardoor in feite een permanente, niet-traceerbare achterdeur naar gevoelige gegevens ontstaat.
Geschatte CVSS-scorebereik
Kritiek (9,0–10,0).
Overwegingen bij risico-impact
De ernst van het risico is afhankelijk van de grootte van de gebruikerspopulatie en de toegangsprivileges die bij inloggen worden verleend.
Hoger risico wanneer
- Gecentraliseerde gebruikersauthenticatie (zoals SSO) is niet aanwezig
- Gebruikersidentiteitsverificatie is niet aanwezig (MFA of andere)
- Voor beheerders wordt de break glass-account niet beheerd in een beveiligde kluis
Laag of geen risico wanneer
Wanneer Lightning Login op organisatieniveau niet is ingeschakeld Deze controle kan als laag risico worden beschouwd wanneer een of meer van de volgende zaken zijn geïmplementeerd:
- MFA-afdwinging of identiteitsverificatie is ingeschakeld: MFA wordt afgedwongen voor Salesforce-gebruikers
- SSO geldt voor alle gebruikers: Gecentraliseerde authenticatie is ingeschakeld voor alle gebruikersprofielen
- Break Glass-account is beschermd: Accounts van beheerdersgebruikers zijn uitgesloten van SSO, maar beveiligd in een Privileged Account Management Vault
- IP-inlogbeperking op de netwerklaag: IP-inlogbeperking voor gebruikers met machtigingen om de set-up te wijzigen
Overwegingen bij bedrijf en integratie
Klanten moeten gebruikers evalueren die kunnen inloggen met inloggegevens en direct inloggen met inloggegevens minimaliseren.
Aanbevolen oplossing
Dwing Lightning Login beperking af voor geautoriseerde gebruikers met Lightning Login machtiging.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand evalueert de set-up van Lightning Login en zorgt ervoor dat, indien ingeschakeld, Lightning Login is geconfigureerd om alleen geautoriseerde gebruikers of gebruikers met de Lightning Login machtiging toe te staan. In overeenstemming met zero Trust en least privilege practices om het platform te beveiligen.
