Você está aqui:
Lightning Login para logins sem senha
O objetivo de controle de restringir o Lightning Login apenas a usuários com a permissão específica "Usuário do Lightning Login" é garantir que a autenticação sem senha seja implementada como um método de acesso privilegiado e granular, em vez de um padrão para toda a organização.
Nome do controle
Lightning Login para login sem senha
Configuração recomendada
Quando o Lightning Login estiver habilitado, permita apenas para usuários com a permissão de usuário Lightning Login configurada no perfil de usuário: Configuração Lightning Login restrição: Configuração>Configurações de sessão>Quando permitir o Lightning Login ativado>Definir a permissão Permitir apenas para usuários com a permissão de usuário do Lightning Login ativada.
Visão geral de controle
O objetivo de controle de restringir o Lightning Login apenas a usuários com a permissão específica "Usuário do Lightning Login" é garantir que a autenticação sem senha seja implementada como um método de acesso privilegiado e granular, em vez de um padrão para toda a organização. Isso garante que apenas pessoal autorizado que tenha sido verificado e atribuído o perfil de segurança adequado possa contornar a entrada tradicional de senha, minimizando a superfície de ataque e impedindo a inscrição não autorizada ou acidental na autenticação baseada em biometria pela população geral de usuários. Isso é reduzido quando o SSO é implementado, no entanto, como o SSO pode não ser aplicado a todos os perfis, quando o Lightning Login está habilitado, perfis que não estão configurados com Habilitar SSO terão o Lightning Login habilitado.
Risco de segurança, se não configurado
Maior risco de acesso por um invasor não autorizado que comprometeu temporariamente a sessão de um usuário para vincular um dispositivo inadvertido, criando um caminho persistente e de alta garantia que ignora as políticas de senha tradicionais e dificulta significativamente a nova segurança da conta.
Cenários de ameaça
Um invasor que tenha sequestrado brevemente a sessão de um usuário (ou um intruso mal-intencionado em um laptop sem supervisão) inscreve seu próprio dispositivo com capacidade biométrica no Lightning Login porque o recurso não é restrito por permissões de usuário específicas. Depois de inscrito, o invasor pode ignorar todos os avisos de senha futuros para obter acesso persistente e de alta velocidade à organização do Salesforce, criando efetivamente um backdoor permanente e não rastreável para dados confidenciais.
Intervalo de pontuação de CVSS estimado
Crítico (9.0 a 10.0).
Considerações sobre impacto de risco
A gravidade do risco depende do tamanho da população de usuários e dos privilégios de acesso concedidos no login.
Risco maior quando
- A autenticação de usuário centralizada (como SSO) não está em vigor
- A verificação de identidade do usuário não está em vigor (MFA ou outros)
- Para usuários administradores, a conta de transparência não é gerenciada em um cofre seguro
Baixo ou Sem risco quando
Quando o Lightning Login no nível da organização não está habilitado Esse controle pode ser considerado de baixo risco quando um ou mais dos seguintes são implementados:
- A imposição de MFA ou a verificação de identidade está em vigor: A MFA é imposta para usuários do Salesforce
- O SSO está em vigor para todos os usuários: A autenticação centralizada está em vigor para todos os perfis de usuário
- A conta Break Glass está protegida: As contas de usuários administradores são excluídas do SSO, mas protegidas em um Vault de gerenciamento de conta privilegiada
- Restrição de login de IP na camada de rede: Restrição de login de IP para usuários com privilégios para modificar a configuração
Considerações de negócios e integração
Os clientes devem avaliar usuários que podem fazer login usando credenciais e minimizar o login direto com credenciais.
Remediação recomendada
Imponha a restrição de Lightning Login a usuários autorizados com permissão Lightning Login.
Diretriz de revisão de saúde de segurança
A Análise de integridade da segurança avalia a configuração do Lightning Login para garantir que, quando ativada, o Lightning Login esteja configurado para permitir apenas usuários autorizados ou usuários com a permissão Lightning Login. De acordo com práticas de zero Trust e privilégios mínimos para proteger a plataforma.
