Управление параметрами OAuth и OpenID Connect

Управление именем

Параметры OAuth и OpenID Connect

Рекомендованная конфигурация

Внедрите безопасные параметры OAuth и отключите слабые потоки OAuth.

Общие сведения о контроле

OAuth используется в основном для предоставления безопасного делегированного доступа к данным платформы для внешних приложений (например, мобильных приложений, сторонних интеграций или настраиваемых веб-порталов), не требуя, чтобы пользователи предоставляли общий доступ к своим регистрационным данным Salesforce напрямую этим приложениям. Безопасная настройка параметров OAuth или потока помогает защитить секреты OAuth.

Риск безопасности, если он не настроен

Небезопасная настройка OAuth в Salesforce создает уязвимость заднего хода, когда украденные или чрезмерно привилегированные маркеры позволяют злоумышленникам пропустить стандартные средства управления безопасностью, например, многофакторную проверку подлинности (MFA) и напоминания о пароле.

Сценарии угроз

Компрометированное внешнее приложение или компрометация цепочки поставок, позволяющая злоумышленнику нацеливаться на широко используемую стороннюю интеграцию, а не на саму Salesforce. Поскольку эти маркеры «предварительно авторизованы» администратором Salesforce, взломщик может воспроизвести их, чтобы получить мгновенный высокопривилегированный доступ к конфиденциальным данным CRM, не нуждаясь в имени пользователя, пароле или многофакторной проверке подлинности (MFA).

Примерный диапазон оценки CVSS

Критические (9,0-10,0) или высокие (7,0-8,9), в зависимости от настроек OAuth.

Рекомендации по влиянию риска

Серьезность риска зависит от параметров и настроенного потока, области API и безопасности конечной точки клиента OAuth.

Повышенный риск при

Управление сеансами не применяется в производственных организациях, безопасной среде или организациях разработчика: Отсутствие IP-адресов API полной области доступа Конфигурация единого выхода списка разрешенных.

Низкий риск при

Этот элемент управления можно считать низкорисковым при внедрении одного или нескольких из следующих элементов:

• Ограниченная область API: Область API пользователя интеграции ограничена на основе наименьших привилегий
• Периодическое обновление маркера: Маркер периодически обновляется и внедряет проверку секрета при обновлении маркера
• Список разрешенных IP-адресов входа: Ограничьте IP-адрес связанного приложения, чтобы убедиться, что оно поступает из надежной сети.
• Требовать ключ подтверждения для обмена кодами (PKCE): Обеспечение фактического использования результирующего кода только тем клиентом, который запросил вход.
• Единый выход: Завершайте все сеансы при выходе пользователя.

Рекомендации по бизнесу и интеграции

Клиенты должны оценить совместимость параметров OAuth с внешним приложением, инструментами автоматизации и интеграциями.

Рекомендованное исправление

Включите безопасный поток OAuth для связанных приложений, ограничьте подключение к надежным сетям и ограничьте область API.

Руководство по проверке состояния безопасности

Обзор состояния безопасности оценивает параметры OAuth, проверяя тип включенных потоков, параметры ротации маркеров, единый выход, область API и методы входа в список разрешенных IP-адресов, чтобы помочь клиентам снизить риск атак на основе регистрационных данных и привести их в соответствие с рекомендованными Salesforce базисами безопасности и принципами Zero Trust.