OAuth 與 OpenID Connect 設定

控制名稱

OAuth 與 OpenID Connect 設定。

建議組態

強制執行安全 OAuth 設定並停用弱 OAuth 流程。

控制概觀

OAuth 主要用於為外部應用程式 (例如行動應用程式、第三方整合或自訂 Web 入口網頁) 提供平台資料的安全、委派存取權,而不需要使用者直接與這些應用程式共用其 Salesforce 認證。OAuth 設定的安全組態或流程可協助保護 OAuth 密碼。

未設定安全性風險

Salesforce 中的不安全 OAuth 設定會建立後端漏洞,其中竊取或過度授權的權杖允許攻擊者略過標準安全性控制項,例如多因素驗證 (MFA) 和密碼提示。

威脅情況

入侵的外部應用程式或供應鏈入侵允許攻擊者鎖定廣泛使用的第三方整合,而非 Salesforce 本身。由於這些權杖是由 Salesforce 管理員「預先授權」的,因此攻擊者可以重新執行這些權杖,以取得敏感 CRM 資料的立即高權限存取權,而無須使用者名稱、密碼或多因素驗證 (MFA)。

估計 CVSS 分數範圍

嚴重 (9.0–10.0) 或高 (7.0–8.9),視 OAuth 設定而定。

風險影響考量事項

風險嚴重性取決於設定的設定和流程、API 範圍,以及 OAuth 用戶端端點安全性。

風險愈高時機

不會對生產組織、Sandbox 或開發人員組織強制執行工作階段控制:完整存取範圍 API 缺少 IP 允許清單單單一登出組態。

低度風險時機

實作下列一或多個控制項時,可以將此控制項視為低度風險:

• 受限制的 API 範圍:整合使用者的 API 範圍會根據最低權限進行限制
• 定期權杖重新整理:權杖會定期重新整理,並在權杖重新整理時強制執行密碼驗證
• 登入 IP 允許清單:限制連線應用程式的 IP 位址,以確保其來自信任的網路。
• 需要 Proof Key for Code Exchange (PKCE):確保只有要求登入的確切用戶端可以實際使用產生的程式碼。
• 單一登出:使用者登出時終止所有工作階段。

業務與整合考量事項

客戶應評估 OAuth 設定與外部應用程式、自動化工具和整合的相容性。

建議的補救措施

針對連線的應用程式啟用安全的 OAuth 流程、將連線限制為信任的網路,以及限制 API 範圍。

安全性健康檢閱指南

Security Health Review 會透過檢查已啟用的流程類型、權杖輪換設定、單一登出、API 範圍和「IP 允許清單」登入方法來評估 OAuth 設定,以協助客戶降低以認證為基礎的攻擊風險,並符合 Salesforce 建議的安全性基準和零 Trust 原則。