Sie befinden sich hier:
Salesforce-Kundenidentität: Anmeldung ohne Kennwort
Mit diesem Steuerelement kann eine Organisation den allgemeinen Salesforce-Überprüfungsbildschirm durch eine benutzerdefinierte Seite mit Branding ersetzen, die die Anmeldung ohne Kennwort verarbeitet.
Steuerelementname
Anmeldung ohne Kennwort
Empfohlene Konfiguration
Aktivieren Sie den Zugriff auf die Überprüfungsseite "Ihre benutzerdefinierte Identität".
Steuerelementübersicht
Mit diesem Steuerelement kann eine Organisation den allgemeinen Salesforce-Überprüfungsbildschirm durch eine benutzerdefinierte Seite mit Branding ersetzen, die die Anmeldung ohne Kennwort verarbeitet. Die Authentifizierung ohne Kennwort ermöglicht es Benutzern, sich mit einem Einmalkenncode (OTP) anzumelden, der per E-Mail oder SMS gesendet wird, oder über einen verifizierbaren Discovery-basierten Link anstelle eines herkömmlichen statischen Kennworts. TOTP Authenticator-Anwendungen und Sicherheitsschlüssel (Passkeys) können ebenfalls konfiguriert werden.
Sicherheitsrisiko, wenn nicht konfiguriert
Wenn Benutzer nicht aktiviert oder ordnungsgemäß konfiguriert sind, werden sie durch standardmäßige Flows ohne Branding gezwungen, die von Angreifern einfacher in Phishing-Kampagnen nachgeahmt werden können, was dazu führt, dass Benutzer Ihren echten Anmeldeprozess nicht von einem gefälschten unterscheiden können.
Bedrohungsszenarien
Ein Angreifer startet eine Site zur Erfassung von Anmeldeinformationen, die genau wie die standardmäßige Salesforce-Anmeldung aussieht. Da das Unternehmen keinen visuellen Standard vom Typ "Custom Identity" festgelegt hat, geben Benutzer ihre vertraulichen Einmalkennwörter ohne Verdacht in die Site des Angreifers ein.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Das Fehlen einer konsistenten Überprüfungserfahrung mit Branding erhöht die Erfolgsrate von Social Engineering-Angriffen, was potenziell Tausende von Kundenaccounts gefährdet und Trust in Ihr digitales Portal erodiert.
Höheres Risiko, wenn
Bei Verbraucherportalen mit hohem Datenverkehr ist das Risiko höher, wenn Benutzer weniger technisch versiert sind und eher auf "ähnliche" Anmeldebildschirme hereinfallen, auf denen die spezifischen Sicherheitsmarkierungen Ihres Unternehmens fehlen.
Geringes Risiko, wenn
Organisationen verwenden physischen U2F-Sicherheitsschlüssel in den Einstellungen für die Identitätsüberprüfung, um anfällige SMS-/E-Mail-Codes nach Möglichkeit zu ersetzen. Diese sind für Angreifer schwieriger zu Phishing.
Überlegungen zu Unternehmen und Integration
Die Implementierung einer benutzerdefinierten Überprüfungsseite erfordert eine Front-End-Entwicklung (Visualforce oder Lightning) und koordinierte Tests, um sicherzustellen, dass der Prüfcode oder Link zuverlässig über verschiedene Mobilfunkanbieter und E-Mail-Anbieter hinweg zugestellt wird.
Empfohlene Sanierung
Navigieren Sie in den Verwaltungseinstellungen Ihrer Site zu "Anmeldung & Registrierung", wählen Sie Anmeldung ohne Kennwort aus und geben Sie im Feld "Identitätsüberprüfung" Ihre benutzerdefinierte Seite an.
Anleitung zur Sicherheitsintegritätsprüfung
Bei der Sicherheitsintegritätsprüfung werden benutzerdefinierte Überprüfungsseiten als "Visual Trust Anchor" (Visueller Vertrauensanker) identifiziert. Daher sollte die Sicherheitserfahrung nicht von der Markenerfahrung unterschieden werden können, damit Benutzer betrügerische Anmeldeversuche instinktiv identifizieren können.
