Impostazioni OAuth e OpenID Connect

Nome controllo

Impostazioni OAuth e OpenID Connect.

Configurazione consigliata

Applicare impostazioni OAuth protette e disabilitare i flussi OAuth deboli.

Panoramica sul controllo

OAuth viene utilizzato principalmente per fornire un accesso sicuro e delegato ai dati della piattaforma per le applicazioni esterne, ad esempio app mobili, integrazioni di terze parti o portali Web personalizzati, senza richiedere agli utenti di condividere le credenziali Salesforce direttamente con tali app. La configurazione protetta delle impostazioni o del flusso OAuth consente di proteggere i segreti OAuth.

Rischio per la sicurezza se non configurato

Un'impostazione OAuth non sicura in Salesforce crea una vulnerabilità backdoor in cui i token rubati o con privilegi eccessivi consentono agli aggressori di ignorare controlli di sicurezza standard come l'autenticazione a più fattori (MFA) e i prompt delle password.

Scenari di minaccia

App esterna compromessa o Compromissione della supply chain che consente agli aggressori di colpire un'integrazione di terze parti ampiamente utilizzata anziché Salesforce stessa. Poiché questi token sono "pre-autorizzati" da un amministratore Salesforce, l'autore dell'attacco può riprodurli per ottenere un accesso immediato e con privilegi elevati ai dati CRM sensibili senza mai aver bisogno di un nome utente, una password o un'autenticazione a più fattori (MFA).

Intervallo di punteggi CVSS stimato

Critico (9.0–10.0) o Alto (7.0–8.9), a seconda dell'impostazione OAuth.

Considerazioni sull'impatto del rischio

La gravità del rischio dipende dalle impostazioni e dal flusso configurati, dall'ambito API e dalla sicurezza dell'endpoint client OAuth.

Rischio maggiore quando

I controlli di sessione non vengono applicati per le organizzazioni di produzione, Sandbox o sviluppatore: Configurazione Single Logout dell'elenco consentiti API Scope accesso completo Mancanza di IP.

Basso rischio quando

Questo controllo può essere considerato a basso rischio quando vengono implementati uno o più dei seguenti elementi:

• Ambito API limitato: L'ambito API dell'utente integrazione è limitato in base ai privilegi minimi
• Aggiornamento periodico token: Il token viene aggiornato periodicamente e impone la convalida segreta quando il token viene aggiornato
• Elenco IP di accesso consentiti: Limitare l'indirizzo IP dell'applicazione connessa per assicurarsi che provenga da una rete affidabile.
• Richiedere la chiave di prova per lo scambio di codice (PKCE): Assicurarsi che solo il client esatto che ha richiesto l'accesso possa effettivamente utilizzare il codice risultante.
• Single Logout: Terminare tutte le sessioni quando un utente si disconnette.

Considerazioni su Business e integrazione

I clienti devono valutare la compatibilità delle impostazioni OAuth con l'applicazione esterna, gli strumenti di automazione e le integrazioni.

Rimedio consigliato

Abilitare il flusso OAuth sicuro per le applicazioni connesse, limitare la connessione alle reti affidabili e limitare l'ambito API.

Guida all'esame dello stato della sicurezza

Security Health Review valuta le impostazioni OAuth esaminando il tipo di flussi abilitati, le impostazioni di rotazione dei token, il Single Logout, l'ambito API e i metodi di accesso IP Allow List per aiutare i clienti a ridurre il rischio di attacchi basati sulle credenziali e ad allinearsi ai principi di base di sicurezza consigliati da Salesforce e Zero Trust.