Du är här:
OAuth-flödesaktivering: Aktivera JWT-bärarflödeskontroll
Denna säkerhetsinställning aktiverar ett certifikatbaserat OAuth 2.0-flöde som låter ett program autentiseras genom att signera en JSON Web Token (JWT) med en privat nyckel istället för att använda en statisk delad hemlighet.
Kontrollnamn
Externa klientappar: OAuth-flödesaktivering: Aktivera JWT-bärarflöde
Rekommenderad konfiguration
Aktivera JWT-bärarflöde.
Kontrollöversikt
Denna säkerhetsinställning aktiverar ett certifikatbaserat OAuth 2.0-flöde som låter ett program autentiseras genom att signera en JSON Web Token (JWT) med en privat nyckel istället för att använda en statisk delad hemlighet.
Säkerhetsrisk om den inte är konfigurerad
Utan JWT-bärarflödet förlitar sig integreringar ofta på mindre säkra lösenordsbaserade eller hemliga metoder som är sårbara för stulen inloggning, brutala attacker och oavsiktlig exponering i källkod eller loggar.
Hotscenarier
En attackerare fångar upp eller upptäcker en klienthemlighet i klartext och använder den för att etablera en beständig anslutning till API, medan ett JWT-baserat system skulle kräva att attackeraren har den hårt bevakade privata nyckelfilen.
Uppskattat CVSS-betygintervall
Hög (7,0-8,9).
Att tänka på vad gäller riskpåverkan
Att förlita sig på statiska hemligheter istället för asymmetrisk kryptografi ökar sannolikheten för ett långsiktigt dataintrång, eftersom komprometterade hemligheter är svårare att upptäcka och rotera än digitala certifikat.
Högre risk när
Om integreringsanvändaren har utökade administrativa behörigheter och anslutningen är etablerad över offentliga eller ohanterade nätverkssegment.
Låg risk när
Om organisationen redan använder en robust nyckelhanteringstjänst för att skydda de privata nycklarna och tillämpar strikt IP-tillåtelselista för alla inkommande JWT-signerade begäranden.
Att tänka på vad gäller affärer och integration
Att implementera detta flöde kräver att utvecklare hanterar digitala certifikat och implementerar lokal kod för att signera tokens, vilket ger komplexitet jämfört med enkel hemlig autentisering.
Rekommenderad åtgärd
Gå till OAuth-inställningarna för den externa klientappen, ladda upp ett giltigt digitalt certifikat och markera kryssrutan för att slå på JWT-bärarflödet.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar användningen av asymmetrisk kryptografi för maskin-till-maskin-autentisering som en obligatorisk standard för miljöer med hög säkerhet, så att inloggningsuppgifter inte enkelt kan klonas eller avlyssnas.
