Вы находитесь здесь:
Включение потока OAuth: Включение кода авторизации и потока регистрационных данных
Этот параметр безопасности активирует современное расширение OAuth 2.0, позволяющее приложению безопасно обменять временный код авторизации на маркеры доступа, сохраняя строгую связь с уникальными регистрационными данными приложения.
Управление именем
Приложения внешних клиентов: Код авторизации и поток регистрационных данных включения потока OAuth
Рекомендованная конфигурация
Включите код авторизации и поток регистрационных данных.
Общие сведения о контроле
Этот параметр безопасности активирует современное расширение OAuth 2.0, позволяющее приложению безопасно обменять временный код авторизации на маркеры доступа, сохраняя строгую связь с уникальными регистрационными данными приложения.
Риск безопасности, если он не настроен
Без этого модернизированного потока приложения часто используют устаревшие или менее безопасные методы, которые не предоставляют одинаковый уровень криптографического связывания между авторизацией пользователя и конкретным клиентским приложением, повышая риск перехвата маркера.
Сценарии угроз
Злоумышленник пытается использовать украденный код авторизации для получения доступа к защищенному ресурсу, но попытка не удается, поскольку система требует регистрационные данные определенного клиентского приложения для выполнения рукопожатия.
Примерный диапазон оценки CVSS
Высокий (7,0-8,9).
Рекомендации по влиянию риска
Если этот интегрированный поток не будет внедрен, архитектура безопасности может быть более фрагментированной, поэтому маркеры легче подделать или воспроизвести в разных сеансах.
Повышенный риск при
Для общедоступных веб-приложений или мобильных приложений, которые должны обрабатывать массовый трафик пользователей в ненадежных сетях, где перехват простого кода авторизации более вероятен.
Низкий риск при
Если приложение уже использует расширение Proof Key for Code Exchange (PKCE) для добавления дополнительного уровня защиты к стандартному потоку кода авторизации.
Рекомендации по бизнесу и интеграции
Внедрение этого потока требует, чтобы разработчики обновили логику приложения для одновременной обработки ответа авторизации пользователя и последующей проверки регистрационных данных сервера.
Рекомендованное исправление
Перейдите в параметры OAuth приложения внешнего клиента и установите флажок, чтобы включить код авторизации и поток регистрационных данных.
Руководство по проверке состояния безопасности
Обзор состояния безопасности определяет этот поток как важное обновление безопасности для сложных интеграций, чтобы каждый обмен маркеров проверялся по удостоверению конкретного приложения, запрашивающего доступ.
