Sie befinden sich hier:
OAuth-Flow-Aktivierung: JWT-Bearer-Flow aktivieren
Durch diese Sicherheitseinstellung wird ein zertifikatsbasierter OAuth 2.0-Flow aktiviert, mit dem eine Anwendung authentifiziert werden kann, indem ein JSON-Webtoken (JWT) mit einem privaten Schlüssel signiert wird, statt ein statisches freigegebenes Geheimnis zu verwenden.
Steuerelementname
Externe Client-Anwendungen: OAuth-Flow-Aktivierung: JWT-Bearer-Flow aktivieren
Empfohlene Konfiguration
Aktivieren Sie den JWT-Bearer-Flow.
Steuerelementübersicht
Durch diese Sicherheitseinstellung wird ein zertifikatsbasierter OAuth 2.0-Flow aktiviert, mit dem eine Anwendung authentifiziert werden kann, indem ein JSON-Webtoken (JWT) mit einem privaten Schlüssel signiert wird, statt ein statisches freigegebenes Geheimnis zu verwenden.
Sicherheitsrisiko, wenn nicht konfiguriert
Ohne den JWT-Bearer-Flow basieren Integrationen oft auf weniger sicheren passwortbasierten oder geheimen Methoden, die anfällig für Credential-Stuffing, Brute-Force-Angriffe und versehentliche Offenlegung in Quellcode oder Protokollen sind.
Bedrohungsszenarien
Ein Angreifer fängt ein Nur-Text-Client-Geheimnis ab oder entdeckt es und verwendet es, um eine persistente Verbindung mit der API herzustellen, während ein JWT-basiertes System voraussetzen würde, dass der Angreifer über die streng geschützte private Schlüsseldatei verfügt.
Geschätzter CVSS-Bewertungsbereich
Hoch (7,0–8,9).
Überlegungen zu Risikoauswirkungen
Wenn Sie sich auf statische Geheimnisse statt auf asymmetrische Kryptografie verlassen, erhöht sich die Wahrscheinlichkeit einer langfristigen Datenverletzung, da kompromittierte Geheimnisse schwerer zu erkennen und zu rotieren sind als digitale Zertifikate.
Höheres Risiko, wenn
Wenn der Integrationsbenutzer über erhöhte administrative Berechtigungen verfügt und die Verbindung über öffentliche oder nicht verwaltete Netzwerksegmente hergestellt wird.
Geringes Risiko, wenn
Wenn die Organisation bereits einen zuverlässigen Schlüsselverwaltungsservice zum Schutz der privaten Schlüssel verwendet und eine strenge IP-Zulassungsliste für alle eingehenden JWT-signierten Anforderungen erzwingt.
Überlegungen zu Unternehmen und Integration
Für die Implementierung dieses Flows müssen Entwickler digitale Zertifikate verwalten und lokalen Code für Signiertoken implementieren, was im Vergleich zur einfachen geheimen Authentifizierung zu einer höheren Komplexität führt.
Empfohlene Sanierung
Wechseln Sie zu den OAuth-Einstellungen der externen Client-Anwendung, laden Sie ein gültiges digitales Zertifikat hoch und aktivieren Sie das Kontrollkästchen zum Aktivieren des JWT-Bearer-Flows.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert die Verwendung asymmetrischer Kryptografie für die Maschine-zu-Maschine-Authentifizierung als obligatorischen Standard für Hochsicherheitsumgebungen, sodass Anmeldeinformationen nicht einfach dupliziert oder abgefangen werden können.
