Sie befinden sich hier:
OAuth- und OpenID Connect-Einstellungen
OAuth wird hauptsächlich verwendet, um externen Anwendungen sicheren, delegierten Zugriff auf die Daten der Plattform zu bieten.
Steuerelementname
OAuth- und OpenID Connect-Einstellungen.
Empfohlene Konfiguration
Erzwingen Sie sichere OAuth-Einstellungen und deaktivieren Sie schwache OAuth-Flows.
Steuerelementübersicht
OAuth wird in erster Linie verwendet, um externen Anwendungen wie mobilen Anwendungen, Drittanbieterintegrationen oder benutzerdefinierten Webportalen sicheren, delegierten Zugriff auf die Daten der Plattform zu bieten, ohne dass Benutzer ihre Salesforce-Anmeldeinformationen direkt für diese Anwendungen freigeben müssen. Durch die sichere Konfiguration der OAuth-Einstellungen oder des Flows sind die OAuth-Geheimnisse geschützt.
Sicherheitsrisiko, wenn nicht konfiguriert
Eine unsichere OAuth-Einrichtung in Salesforce führt zu einer Sicherheitslücke, bei der gestohlene oder überprivilegierte Token es Angreifern ermöglichen, Standardsicherheitssteuerungen wie die Multi-Faktor-Authentifizierung (MFA) und Kennwortaufforderungen zu umgehen.
Bedrohungsszenarien
Kompromittierte externe Anwendung oder Lieferkettenkompromittierung, wodurch Angreifer auf eine häufig verwendete Drittanbieterintegration abzielen und nicht auf Salesforce selbst. Da diese Token von einem Salesforce-Administrator "vorautorisiert" wurden, kann der Angreifer sie erneut wiedergeben, um sofortigen Zugriff mit hohen Berechtigungen auf vertrauliche CRM-Daten zu erhalten, ohne jemals einen Benutzernamen, ein Kennwort oder eine Multi-Faktor-Authentifizierung (MFA) benötigen zu müssen.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0) oder Hoch (7.0–8.9), je nach OAuth-Setup.
Überlegungen zu Risikoauswirkungen
Der Risikoschweregrad hängt von den konfigurierten Einstellungen und dem konfigurierten Flow, dem API-Umfang und der OAuth-Client-Endpunktsicherheit ab.
Höheres Risiko, wenn
Sitzungssteuerungen werden für Produktionsorganisationen, Sandbox- oder Entwicklerorganisationen nicht erzwungen: Uneingeschränkter Zugriff auf die Scope-API Fehlende IP-Zulassungsliste Single Logout-Konfiguration.
Geringes Risiko, wenn
Diese Steuerung kann als risikoarm angesehen werden, wenn eine oder mehrere der folgenden Aktionen implementiert sind:
- Eingeschränkter API-Geltungsbereich: Der API-Geltungsbereich des Integrationsbenutzers wird anhand der geringsten Berechtigung eingeschränkt
- Regelmäßige Tokenaktualisierung: Das Token wird regelmäßig aktualisiert und erzwingt die geheime Validierung, wenn das Token aktualisiert wird
- Anmelde-IP-Zulassungsliste: Schränken Sie die IP-Adresse der verbundenen Anwendung ein, um sicherzustellen, dass sie aus einem vertrauenswürdigen Netzwerk stammt.
- Proof Key for Code Exchange (PKCE) erforderlich: Sicherstellen, dass nur der Client, der die Anmeldung angefordert hat, den resultierenden Code tatsächlich verwenden kann.
- Single Logout: Beenden Sie alle Sitzungen, wenn sich ein Benutzer abmeldet.
Überlegungen zu Unternehmen und Integration
Kunden sollten die Kompatibilität der OAuth-Einstellungen mit der externen Anwendung, den Automatisierungstools und Integrationen bewerten.
Empfohlene Sanierung
Aktivieren Sie einen sicheren OAuth-Flow für verbundene Anwendungen, schränken Sie die Verbindung auf vertrauenswürdige Netzwerke ein und begrenzen Sie den API-Geltungsbereich.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung wertet die OAuth-Einstellungen aus, indem sie den Typ der aktivierten Flows, die Tokenrotationseinstellungen, Single Logout, den API-Geltungsbereich und die IP-Zulassungsliste untersucht, um Kunden dabei zu unterstützen, das Risiko von anmeldeinformationenbasierten Angriffen zu reduzieren und die von Salesforce empfohlenen Sicherheitsgrundlagen und Zero Trust Prinzipien einzuhalten.
