Control de configuración de OAuth y OpenID Connect

Nombre de control

Configuración de OAuth y OpenID Connect

Configuración recomendada

Aplique parámetros de OAuth seguros y desactive flujos de OAuth débiles.

Descripción general de control

OAuth se utiliza principalmente para proporcionar acceso delegado y seguro a los datos de la plataforma para aplicaciones externas, como aplicaciones móviles, integraciones externas o portales web personalizados, sin requerir que los usuarios compartan sus credenciales de Salesforce directamente con esas aplicaciones. La configuración segura de los parámetros o el flujo de OAuth ayuda a proteger los secretos de OAuth.

Riesgo de seguridad si no está configurado

Una configuración de OAuth insegura en Salesforce crea una vulnerabilidad de puerta trasera donde los tokens robados o con privilegios excesivos permiten a los atacantes omitir controles de seguridad estándar como solicitudes de autenticación de múltiples factores (MFA) y contraseña.

Escenarios de amenazas

Aplicación externa comprometida o Compromiso de cadena de suministro que permite al atacante dirigirse a una integración externa ampliamente utilizada en vez de Salesforce en sí. Debido a que estos tokens están "preautorizados" por un administrador de Salesforce, el atacante puede reproducirlos para obtener acceso instantáneo de alto privilegio a datos confidenciales de CRM sin necesidad de un nombre de usuario, una contraseña o una autenticación de múltiples factores (MFA).

Intervalo de puntuaje de CVSS estimado

Crítico (9,0 a 10,0) o Alto (7,0 a 8,9), dependiendo de la configuración de OAuth.

Consideraciones de impacto de riesgo

La gravedad del riesgo depende de la configuración y el flujo configurados, el ámbito de API y la seguridad del extremo del cliente de OAuth.

Mayor riesgo cuando

Los controles de sesión no se aplican para organizaciones de producción, sandbox u organizaciones de desarrollador: API de ámbito de acceso completo La falta de IP permite la configuración de cierre de sesión único de lista.

Bajo riesgo cuando

Este control se puede considerar de bajo riesgo cuando se implementa uno o más de los elementos siguientes:

• Ámbito de API limitado: El ámbito de API del usuario de integración está restringido basándose en el menor privilegio
• Actualización de token periódica: El token se actualiza periódicamente y aplica validación secreta cuando se actualiza el token
• Lista de admisión de direcciones IP de inicio de sesión: Restrinja la dirección IP de la aplicación conectada para asegurarse de que procede de una red de confianza.
• Requerir clave de prueba para intercambio de códigos (PKCE): Garantizando que solo el cliente exacto que solicitó el inicio de sesión puede utilizar realmente el código resultante.
• Cierre de sesión único: Termine todas las sesiones cuando un usuario cierre sesión.

Consideraciones de negocio e integración

Los clientes deben evaluar la compatibilidad de la configuración de OAuth con la aplicación externa, las herramientas de automatización y las integraciones.

Remediación recomendada

Active el flujo de OAuth seguro para aplicaciones conectadas, restrinja la conexión a redes de confianza y limite el ámbito de API.

Directrices de revisión del estado de seguridad

Security Health Review evalúa la configuración de OAuth inspeccionando el tipo de flujos activados, la configuración de rotación de tokens, el cierre de sesión único, el ámbito de API y los métodos de inicio de sesión de Lista de admisión de IP para ayudar a los clientes a reducir el riesgo de ataque basado en credenciales y alinearse con las líneas base de seguridad recomendadas por Salesforce y los principios de Zero Trust.