Usted estĆ” aquĆ:
HabilitaciĆ³n de flujo de OAuth: Activar flujo de soporte JWT
Esta configuraciĆ³n de seguridad activa un flujo de OAuth 2.0 basado en certificado que permite a una aplicaciĆ³n autenticarse firmando un token web JSON (JWT) con una clave privada en vez de utilizar un secreto compartido estĆ”tico.
Nombre de control
Aplicaciones cliente externas: HabilitaciĆ³n de flujo de OAuth: Activar flujo de soporte JWT
ConfiguraciĆ³n recomendada
Active Flujo de soporte JWT.
DescripciĆ³n general de control
Esta configuraciĆ³n de seguridad activa un flujo de OAuth 2.0 basado en certificado que permite a una aplicaciĆ³n autenticarse firmando un token web JSON (JWT) con una clave privada en vez de utilizar un secreto compartido estĆ”tico.
Riesgo de seguridad si no estĆ” configurado
Sin el flujo de soporte de JWT, las integraciones a menudo se basan en mĆ©todos basados en contraseƱas o secretos menos seguros que son vulnerables al relleno de credenciales, ataques de fuerza bruta y exposiciĆ³n accidental en cĆ³digos fuente o registros.
Escenarios de amenazas
Un atacante intercepta o descubre un secreto de cliente de texto sin formato y lo utiliza para establecer una conexiĆ³n persistente con la API, mientras que un sistema basado en JWT requerirĆa que el atacante posea el archivo de clave privada fuertemente protegido.
Intervalo de puntuaje de CVSS estimado
Alto (7,0 a 8,9).
Consideraciones de impacto de riesgo
Confiar en secretos estĆ”ticos en vez de criptografĆa asimĆ©trica aumenta la probabilidad de una brecha de datos a largo plazo, ya que los secretos comprometidos son mĆ”s difĆciles de detectar y rotar que los certificados digitales.
Mayor riesgo cuando
Si el usuario de integraciĆ³n tiene permisos administrativos elevados y la conexiĆ³n se establece sobre segmentos de red pĆŗblicos o no gestionados.
Bajo riesgo cuando
Si la organizaciĆ³n ya utiliza un sĆ³lido Servicio de gestiĆ³n de claves para proteger las claves privadas y aplica una lista de admisiĆ³n de IP estricta para todas las solicitudes firmadas por JWT entrantes.
Consideraciones de negocio e integraciĆ³n
La implementaciĆ³n de este flujo requiere que los desarrolladores gestionen certificados digitales e implementen cĆ³digo local para firmar tokens, lo que agrega complejidad en comparaciĆ³n con la autenticaciĆ³n basada en secretos sencilla.
RemediaciĆ³n recomendada
Vaya a la configuraciĆ³n de OAuth de la aplicaciĆ³n cliente externa, cargue un certificado digital vĆ”lido y seleccione la casilla de verificaciĆ³n para activar el flujo de soporte JWT.
Directrices de revisiĆ³n del estado de seguridad
Security Health Review identifica el uso de criptografĆa asimĆ©trica para la autenticaciĆ³n de mĆ”quina a mĆ”quina como un estĆ”ndar obligatorio para entornos de alta seguridad, de modo que las credenciales no se pueden duplicar o interceptar fĆ”cilmente.
