Lightning Login 实现无密码登录

控件名称

Lightning Login 实现无密码登录

推荐配置

在启用 Lightning Login 时，仅允许在用户简档中配置 Lightning Login 用户权限的用户：设置 Lightning Login 限制：设置>会话设置>启用允许 Lightning Login 时>设置仅允许具有 Lightning Login 用户权限的用户启用。

控制概览

将 Lightning Login 限制为仅具有特定“Lightning Login 用户”权限的用户的控制目标是确保将无密码身份验证部署为特权的精细访问方法，而不是组织范围的默认设置。这确保了只有经过审查和分配了适当安全简档的授权人员才能绕过传统的密码输入，从而最大限度地减少了攻击面，并防止了普通用户未经授权或意外注册基于生物识别的身份验证。但是，在实施 SSO 时，这可以减少，因为 SSO 可能不会应用于所有简档，所以当启用 Lightning Login 时，没有配置启用 SSO 的简档将启用 Lightning Login。

安全风险（如果未配置）

增加未经授权的攻击者访问的风险，该攻击者暂时破坏了用户的会话来链接流氓设备，从而创建了一条持续的、高保证的路径，绕过了传统的密码策略，并使帐户更难重新保护。

威胁场景

由于 Lightning Login 的功能不受特定用户权限的限制，因此短暂劫持了用户会话的攻击者（或无人参与笔记本电脑上的恶意内部人员）会为 Lightning Login 注册自己的支持生物识别的设备。注册后，攻击者可以绕过所有未来的密码提示，获得对 Salesforce 组织的持久高速访问权限，从而有效地创建了一个永久的、不可跟踪的敏感数据后门。

估计的 CVSS 得分范围

关键 (9.0–10.0)。

风险影响注意事项

风险严重性取决于登录时授予的用户群体规模和访问权限。

高风险

• 集中式用户身份验证（例如 SSO）不到位
• 用户身份验证不到位（MFA 或其他）
• 对于管理员用户，“破碎玻璃”帐户不在安全的 ⁇ 中管理

低风险或无风险

当组织级别的 Lightning Login 未启用时，当实施以下一项或多项时，此控制可视为低风险：

• MFA 强制执行或身份验证到位：为 Salesforce 用户强制执行 MFA
• 所有用户的 SSO 均已就绪：对所有用户简档强制实施集中身份验证
• Break Glass 帐户受保护：管理员用户帐户被排除在 SSO 之外，但在特权客户管理 ⁇ 中受到保护
• 网络层的 IP 登录限制：具有修改设置权限的用户的 IP 登录限制

业务和集成注意事项

客户应评估可以使用凭据登录的用户，并尽量减少使用凭据直接登录。

建议的补救措施

对具有 Lightning Login 权限的授权用户强制实施 Lightning Login 限制。

安全健康审查指导

安全健康审查会评估 Lightning Login 设置，确保在启用 Lightning Login 时，将 Lightning Login 配置为仅允许授权用户或具有 Lightning Login 权限的用户。符合 Zero Trust 和最低特权实践，以保护平台。