Du er her:
OAuth-flytaktivering: Aktivere godkjenningskode- og legitimasjonsflyt
Denne sikkerhetsinnstillingen aktiverer en moderne OAuth 2.0-utvidelse som lar et program trygt utveksle en midlertidig godkjenningskode for tilgangstokener samtidig som det opprettholdes en streng kobling til programmets unike legitimasjon.
Navn på kontroll
Eksterne klientapper: OAuth-flytaktivering aktiverer godkjenningskode og legitimasjonsflyt
Anbefalt konfigurasjon
Aktiver Godkjenningskode og legitimasjonsflyt.
Oversikt over kontroll
Denne sikkerhetsinnstillingen aktiverer en moderne OAuth 2.0-utvidelse som lar et program trygt utveksle en midlertidig godkjenningskode for tilgangstokener samtidig som det opprettholdes en streng kobling til programmets unike legitimasjon.
Sikkerhetsrisiko hvis ikke konfigurert
Uten denne moderniserte flyten er programmer ofte avhengige av eldre eller mindre sikre metoder som ikke gir samme nivå av kryptografisk binding mellom brukerens godkjenning og det spesifikke klientprogrammet, noe som øker risikoen for tokenanfangst.
Trusselscenarier
En angriper forsøker å bruke en stjålet godkjenningskode for å få tilgang til en beskyttet ressurs, men forsøket mislykkes fordi systemet krever den spesifikke klientprogrammet legitimasjon for å fullføre håndtaket.
Beregnet CVSS Score-område
Høyt (7.0–8,9).
Viktige punkter om risikoinnvirkning
Mislykket implementering av denne integrerte flyten kan føre til en mer fragmentert sikkerhetsarkitektur der tokener blir enklere å falske eller spille av på tvers av forskjellige økter.
Høyere risiko når
For offentlig tilgjengelige nettprogrammer eller mobilapper som må håndtere brukertrafikk med stor trafikk på tvers av ikke-klarerte nettverk der det er mer sannsynlig at en enkel godkjenningskode blir oppfanget.
Lav risiko når
Hvis programmet allerede bruker utvidelsen Proof Key for Code Exchange (PKCE) til å legge til et ekstra lag med beskyttelse i standard godkjenningskodeflyt.
Viktige punkter om virksomheten og integrasjonen
Implementering av denne flyten krever at utviklere oppdaterer programlogikken sin for å håndtere både brukergodkjenningssvaret og den etterfølgende legitimasjonsbekreftelsen på serversiden samtidig.
Anbefalt rettelse
Gå til OAuth-innstillingene i den eksterne klientappen, og merk av i avmerkingsboksen for å slå på godkjenningskode- og legitimasjonsflyten.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer denne flyten som en kritisk sikkerhetsoppgradering for komplekse integrasjoner, slik at hver tokenutveksling kontrolleres mot identiteten til det spesifikke programmet som ber om tilgang.
