Sie befinden sich hier:
OAuth-Zugriffsrichtlinien für eine verbundene Anwendung: Aktivieren von Single und SAML Logout
Single Logout ist ein Mechanismus, der sicherstellt, dass die Sitzung über alle verbundenen Anwendungen im Trust Circle hinweg gleichzeitig beendet wird, wenn sich ein Benutzer bei Salesforce oder einem externen Identitätsanbieter abmeldet.
Steuerelementname
Externe Client-Anwendungen: Konfigurieren von OAuth-Richtlinien: Verwalten des Start-URLs für externe Client-Anwendungen
Empfohlene Konfiguration
Aktivieren Sie Single Logout.
Steuerelementübersicht
Single Logout ist ein Mechanismus, der sicherstellt, dass die Sitzung über alle verbundenen Anwendungen im Trust Circle hinweg gleichzeitig beendet wird, wenn sich ein Benutzer bei Salesforce oder einem externen Identitätsanbieter abmeldet.
Sicherheitsrisiko, wenn nicht konfiguriert
Ohne Single Logout kann sich ein Benutzer bei Salesforce "abmelden", aber eine aktive gültige Sitzung beim IdP (oder umgekehrt) offen lassen, wodurch eine "Zombie-Sitzung" erstellt wird, die unbefugten Zugriff auf die Person ermöglicht, die dieses Gerät als Nächstes verwendet.
Bedrohungsszenarien
In einer freigegebenen Workstation-Umgebung klickt ein Benutzer in Salesforce auf "Abmelden" und wird entfernt. Die nächste Person kann das System jedoch ohne Kennwort erneut aufrufen, da die IdP-Sitzung aktiv bleibt.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Die unvollständige Sitzungsbeendigung führt zu nicht autorisiertem Datenzugriff und Accountübernahme, was das Risiko von "Insider Threats" (Insider-Bedrohungen) oder versehentlicher Offenlegung von Daten in öffentlichen oder freigegebenen Umgebungen erheblich erhöht.
Höheres Risiko, wenn
Das Risiko ist deutlich höher, wenn mehrere Mitarbeiter über den Tag hinweg dieselbe physische Hardware verwenden.
Geringes Risiko, wenn
In Verbindung mit aggressiven Sitzungs-Timeouts und Richtlinien zur erzwungenen erneuten Authentifizierung, die das Zeitfenster minimieren, in dem eine inaktive Sitzung gültig bleibt, ist das Risiko geringer.
Überlegungen zu Unternehmen und Integration
Die Implementierung von Single Logout erfordert eine technische Koordinierung mit dem Identitätsanbieter, um sicherzustellen, dass sowohl "Frontkanal"-Anforderungen (browserbasiert) als auch "Rückkanal"-Anforderungen (Server-zu-Server-Anforderungen) richtig formatiert und akzeptiert werden.
Empfohlene Sanierung
Wechseln Sie zu den Einstellungen für die verbundene Anwendung oder den Authentifizierungsanbieter, geben Sie den Single Logout-URL ein, der von Ihrem Identitätsanbieter bereitgestellt wird, und wählen Sie den entsprechenden Typ (SAML oder OpenID Connect) aus.
Anleitung zur Sicherheitsintegritätsprüfung
Bei der Sicherheitsintegritätsprüfung wird Single Logout als grundlegende "Clean Exit"-Anforderung identifiziert, sodass "Logout" ein absoluter Befehl ist, der den gesamten digitalen Fußabdruck des Benutzers für diese Sitzung bereinigt.
