Du är här:
Salesforce Customer Identity: . Lösenordsfri inloggning
Denna kontroll låter en organisation ersätta den allmänna Salesforce-verifieringsskärmen med en egen varumärkt sida som hanterar lösenordsfri inloggning.
Kontrollnamn
Lösenordsfri inloggning
Rekommenderad konfiguration
Aktivera åtkomst till verifieringssidan för din egna identitet.
Kontrollöversikt
Denna kontroll låter en organisation ersätta den allmänna Salesforce-verifieringsskärmen med en egen varumärkt sida som hanterar lösenordsfri inloggning. Lösenordsfri autentisering låter användare logga in med en engångslösenord (OTP) som skickas via e-post eller SMS, eller genom en verifierbar upptäcktsbaserad länk, istället för ett traditionellt statiskt lösenord. TOTP Authenticator-appar och säkerhetsnycklar (lösenord) kan också konfigureras.
Säkerhetsrisk om den inte är konfigurerad
Om det inte är aktiverat eller korrekt konfigurerat tvingas användare igenom standardflöden utan varumärkning som är enklare för attacker att härma i nätfiskekampanjer, vilket leder till att användare inte kan skilja din riktiga inloggningsprocess från en falsk.
Hotscenarier
En attackerare startar en webbplats för att skörda inloggningsuppgifter som ser ut exakt som Salesforces standardinloggning. Eftersom företaget inte har etablerat en visuell standard för "Custom Identity" anger användare sina känsliga OTP i attackerarens webbplats utan misstanke.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
Misslyckandet med att tillhandahålla en enhetlig, varumärkt verifieringsupplevelse ökar framgången för attacker med social teknik, vilket kan äventyra tusentals kundkonton och urholka Trusten för din digitala portal.
Högre risk när
Risken är högre för högtrafikerade konsumentportaler där användare är mindre tekniskt kunniga och är mer benägna att falla för inloggningsskärmar som "ser likadana ut" som saknar ditt företags specifika säkerhetsmarkörer.
Låg risk när
Organisationer använder fysisk U2F-säkerhetsnyckel i inställningarna för identitetsbekräftelse för att ersätta sårbara SMS/e-postkoder där så är möjligt. Dessa är svårare för attacker att phish.
Att tänka på vad gäller affärer och integration
Att implementera en egen verifieringssida kräver frontendutveckling (Visualforce eller Lightning) och samordnade tester för att säkerställa att verifieringskoden eller länken levereras tillförlitligt mellan olika mobilleverantörer och e-postleverantörer.
Rekommenderad åtgärd
Gå till Inloggning och registrering i din webbplats inställningar för Administration, välj Lösenordsfri inloggning och specificera din egna sida i fältet Identitetsbekräftelse.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar egna verifieringssidor som ett "Visual Trust Anchor", vilket kräver att säkerhetsupplevelsen inte ska kunna skiljas från varumärkesupplevelsen för att hjälpa användare att instinktivt identifiera bedrägliga inloggningsförsök.
