Du är här:
OAuth-flödesaktivering: Inaktivera klientinloggningsuppgifter-flöde
Denna säkerhetsinställning inaktiverar OAuth 2.0-beviljandetypen som låter ett program autentisera och komma åt data med endast sina egna inloggningsuppgifter utan någon användarinblandning eller närvaro.
Kontrollnamn
Externa klientappar: OAuth-flödesaktivering: Inaktivera klientinloggningsuppgifter-flöde
Rekommenderad konfiguration
Inaktivera flödet för klientuppgifter.
Kontrollöversikt
Denna säkerhetsinställning inaktiverar OAuth 2.0-beviljandetypen som låter ett program autentisera och komma åt data med endast sina egna inloggningsuppgifter utan någon användarinblandning eller närvaro.
Säkerhetsrisk om den inte är konfigurerad
När detta flöde är aktiverat ger kompromissen av en enda uppsättning klientuppgifter en attackerare bestående, autonom åtkomst till hela organisationens data med hög behörighetsnivå, vilket helt kringgår flerfaktorsautentisering.
Hotscenarier
En skadlig aktör får åtkomst till en klienthemlighet i klartext som lagras i en konfigurationsfil och använder den för att programmatiskt exfiltrera känsliga poster genom en bakgrundsprocess som aldrig går ut.
Uppskattat CVSS-betygintervall
Hög (7,0-8,9).
Att tänka på vad gäller riskpåverkan
Att tillåta obevakad maskin-till-maskin-autentisering ökar sannolikheten för långsiktiga dataintrång eftersom åtkomsten fortsätter vara aktiv även om individuella användarlösenord ändras eller konton inaktiveras.
Högre risk när
Om den associerade integreringsanvändaren har beviljats administrativa behörigheter eller möjligheten att ändra alla data över flera objekt.
Låg risk när
Om företaget tillämpar strikt IP-adressfiltrering för den specifika integreringen och använder certifikat istället för delade hemligheter för autentiseringshandskakningen.
Att tänka på vad gäller affärer och integration
Att inaktivera detta flöde bryter omedelbart automatiserade backend-integreringar, schemalagda datasynkroniseringar eller program på serversidan som inte har stöd för en användardriven auktoriseringsprocess.
Rekommenderad åtgärd
Gå till OAuth-inställningarna för den externa klientappen och se till att kryssrutan för klientinloggningsuppgifterflödet är avmarkerad.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar elimineringen av statiska, obevakade inloggningsuppgifter som ett obligatoriskt steg i en djupgående försvarsstrategi, vilket gynnar interaktiva eller certifikatbaserade autentiseringsmetoder som ger överlägsen synlighet och kontinuerlig verifiering.
