Innstillinger for OAuth og OpenID Connect

Navn på kontroll

Innstillinger for OAuth og OpenID Connect.

Anbefalt konfigurasjon

Håndhev sikre OAuth-innstillinger og deaktiver svake OAuth-flyter.

Oversikt over kontroll

OAuth brukes primært til å gi sikker, delegert tilgang til plattformens data for eksterne programmer – som mobilapper, tredjeparts integrasjoner eller tilpassede nettportaler – uten å kreve at brukere deler Salesforce-legitimasjonen sin direkte med disse appene. Sikker konfigurasjon av OAuth-innstillingene eller -flyten bidrar til å sikre at OAuth-hemmeligheter beskyttes.

Sikkerhetsrisiko hvis ikke konfigurert

Et usikkert OAuth-oppsett i Salesforce oppretter en backdoor-sårbarhet der stjålne eller overprivatiserte tokener tillater angripere å omgå standard sikkerhetskontroller som godkjenning med flere faktorer (MFA) og passordmeldinger.

Trusselscenarier

Kompromittert ekstern app eller Supply Chain Compromise som tillater angriper å målrette en mye brukt tredjepartsintegrering i stedet for Salesforce selv. Fordi disse tokenene er "forhåndsgodkjent" av en Salesforce-administrator, kan angriperen spille dem på nytt for å få umiddelbar tilgang med høyt privilegium til sensitive CRM-data uten at brukernavn, passord eller godkjenning med flere faktorer (MFA) er nødvendig.

Beregnet CVSS Score-område

Kritisk (9.0–10.0) eller Høy (7.0–8.9), avhengig av OAuth-oppsettet.

Viktige punkter om risikoinnvirkning

Risikoens alvorlighetsgrad avhenger av innstillingene og flyten som er konfigurert, API-omfanget og OAuth-klientsluttpunktsikkerheten.

Høyere risiko når

Øktkontroller håndheves ikke for produksjonsorganisasjoner, Sandbox-organisasjoner eller utviklerorganisasjoner: Full Access Scope API Fravær av IP-adresse i tillatelseslisten Konfigurasjon for enkel avlogging.

Lav risiko når

Denne kontrollen kan vurderes som lav risiko når ett eller flere av følgende er implementert:

• Begrenset API-omfang: API-omfanget til integrasjonsbrukeren er begrenset basert på minst rettigheter
• Periodisk tokenoppdatering: Tokenet oppdateres regelmessig og håndhever hemmelig validering når tokenet oppdateres
• Tillatelsesliste for IP-adresse for pålogging: Begrens IP-adressen til den tilkoblede appen for å sikre at den kommer fra et klarert nettverk.
• Krev bevisnøkkel for kodeutveksling (PKCE): Sikre at bare den eksakte klienten som ba om påloggingen, faktisk kan bruke den resulterende koden.
• Enkeltavlogging: Avslutt alle økter når en bruker logger av.

Viktige punkter om virksomheten og integrasjonen

Kunder bør vurdere OAuth-innstillingers kompatibilitet med det eksterne programmet, automatiseringsverktøy og integrasjoner.

Anbefalt rettelse

Aktiver sikker OAuth-flyt for tilkoblede apper, begrens tilkoblingen til klarerte nettverk og begrens API-omfanget.

Veiledning for vurdering av sikkerhetstilstand

Sikkerhetstilstandsvurdering evaluerer OAuth-innstillinger ved å inspisere typen flyter som er aktivert, innstillingene for tokenrotasjon, enkeltpålogging, API-omfang og IP-tillatelsesliste-påloggingsmetoder for å hjelpe kunder med å redusere legitimasjonsbasert angrepsrisiko og tilpasse seg Salesforce-anbefalte sikkerhetshensyn og Zero Trust.