Du er her:
OAuth-flytaktivering: Aktivere JWT-bærerflyt
Denne sikkerhetsinnstillingen aktiverer en sertifikatbasert OAuth 2.0-flyt som lar et program godkjenne ved å signere et JSON-nettoken (JWT) med en privat nøkkel i stedet for å bruke en statisk delt hemmelighet.
Navn på kontroll
Eksterne klientapper: OAuth-flytaktivering: Aktivere JWT-bærerflyt
Anbefalt konfigurasjon
Aktiver JWT-bærerflyt.
Oversikt over kontroll
Denne sikkerhetsinnstillingen aktiverer en sertifikatbasert OAuth 2.0-flyt som lar et program godkjenne ved å signere et JSON-nettoken (JWT) med en privat nøkkel i stedet for å bruke en statisk delt hemmelighet.
Sikkerhetsrisiko hvis ikke konfigurert
Uten JWT Bearer-flyten baseres integrasjoner ofte på mindre sikre passordbaserte eller hemmelighetsbaserte metoder som er sårbare for legitimasjonsstopping, brutto angrep og utilsiktet eksponering i kildekode eller logger.
Trusselscenarier
En angriper fanger opp eller oppdager en ren tekst-klienthemmelighet og bruker den til å etablere en vedvarende tilkobling til API-et, mens et JWT-basert system vil kreve at angriperen har den tungt beskyttede private nøkkelfilen.
Beregnet CVSS Score-område
Høyt (7.0–8,9).
Viktige punkter om risikoinnvirkning
Å basere seg på statiske hemmeligheter i stedet for asymmetrisk kryptering øker sannsynligheten for et langsiktig datautbrudd fordi kompromitterte hemmeligheter er vanskeligere å oppdage og rotere enn digitale sertifikater.
Høyere risiko når
Hvis integrasjonsbrukeren har forhøyede administrative tillatelser og tilkoblingen er etablert over felles eller ikke-administrerte nettverkssegmenter.
Lav risiko når
Hvis organisasjonen allerede bruker en robust nøkkeltjeneste til å beskytte de private nøklene og håndhever en streng IP-tillatelsesliste for alle innkommende JWT-signerte forespørsler.
Viktige punkter om virksomheten og integrasjonen
Implementering av denne flyten krever at utviklere behandler digitale sertifikater og implementerer lokal kode for signering av tokener, noe som legger til kompleksitet sammenlignet med enkel hemmelighetsbasert godkjenning.
Anbefalt rettelse
Gå til OAuth-innstillingene i den eksterne klientappen, last opp et gyldig digitalt sertifikat og merk av i avmerkingsboksen for å slå på JWT Bearer-flyten.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer bruken av asymmetrisk kryptografi for maskin-til-maskin-godkjenning som en obligatorisk standard for miljøer med høy sikkerhet, slik at legitimasjon ikke enkelt kan klones eller oppfanges.
