Sie befinden sich hier:
Einstellungen für sichere Verbindungen (HTTPS)
Dieses mehrschichtige Steuerungs-Framework stärkt die Sitzungsintegrität, indem es die kontinuierliche IP-Validierung für jede Anforderung erzwingt und Sitzungstoken vor nicht autorisiertem Skriptzugriff über das Attribut HTTPOnly schützt.
Steuerelementname
Einstellungen für sichere Verbindungen (HTTPS)
Empfohlene Konfiguration
- Erzwingen der erneuten Anmeldung nach der Anmeldung als Benutzer
- Aktivieren von HTTPOnly-Attribut erforderlich
- IP-Bereiche für die Anmeldung bei jeder Anforderung erzwingen
- Aktivieren von Postanforderung zum Senden von Sitzungsinformationen für domänenübergreifende Sitzungen verwenden
Setup>Sitzungseinstellungen>Erzwingen der erneuten Anmeldung nach Anmeldung als Benutzer|Erzwingen von IP-Bereichen für HTTPOnly-Attribut|Anmeldung bei jeder Anforderung|Verwenden von Postanforderungen zum Senden von Sitzungsinformationen für domänenübergreifende Sitzungen.
Steuerelementübersicht
Dieses mehrschichtige Steuerungs-Framework stärkt die Sitzungsintegrität, indem es die kontinuierliche IP-Validierung für jede Anforderung erzwingt und Sitzungstoken vor nicht autorisiertem Skriptzugriff über das Attribut HTTPOnly schützt. Darüber hinaus verhindert es Sitzungslecks während der domänenübergreifenden Navigation mithilfe von POST-Anforderungen und stellt die administrative Verantwortlichkeit sicher, indem es eine erneute Anmeldung unmittelbar nach jeder "Anmeldung als"-Sitzung erfordert.
Sicherheitsrisiko, wenn nicht konfiguriert
Wenn diese Steuerelemente nicht aktiviert werden, werden Sitzungen über Cross-Site Scripting (XSS)-Angriffe und URL-Leak während der domänenübergreifenden Navigation angezeigt, was das Risiko von Sitzungs-Hijacking erheblich erhöht. Darüber hinaus sieht sich die Organisation weiterhin mit unbefugtem Zugriff konfrontiert, wenn Benutzer während der Sitzung in nicht vertrauenswürdige Netzwerke wechseln oder wenn Administratoren aktive Sitzungen beibehalten, nachdem sie sich als Benutzer ohne erneute Authentifizierung ausgegeben haben.
Bedrohungsszenarien
Ein Angreifer nutzt eine XSS-Schwachstelle (Cross-Site Scripting) aus, um ein Sitzungscookie ohne HTTPOnly-Schutz zu stehlen, und behält dann nahtlos den Zugriff über ein nicht vertrauenswürdiges Netzwerk bei, da das System die IP-Adresse des Benutzers nicht bei jeder Anforderung erneut überprüfen kann. In der Zwischenzeit werden vertrauliche Sitzungs-IDs während der domänenübergreifenden Navigation durch Browserprotokolle geleakt und ein gekaperter Administratoraccount bleibt aktiv und unwidersprochen, lange nachdem eine "Anmelden als"-Sitzung abgeschlossen wurde.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Die Anzahl der Benutzer, verschiedene Profile, die den Benutzern zugewiesen sind, und Daten oder Objekte, auf die jedes Profil Zugriff hat.
Höheres Risiko, wenn
Das Risiko, diese Einstellungen deaktiviert zu lassen, wird durch das Fehlen einer zuverlässigen Inhaltssicherheitsrichtlinie (Content Security Policy, CSP) erheblich erhöht, wodurch das System anfällig für Skripts wird, die Sitzungscookies leicht entfernen können, wenn das Attribut HTTPOnly fehlt.
Geringes oder kein Risiko, wenn
Um die Risiken zu minimieren, wenn diese speziellen Sitzungssicherheitseinstellungen nicht aktiviert sind, können Sie eine Strategie "Defense-in-Depth" (Verteidigung im Detail) implementieren, indem Sie die folgenden Ausgleichssteuerungen verwenden:
- Obligatorische Multi-Faktor-Authentifizierung (MFA): Selbst wenn eine Sitzungs-ID über einen URL geleakt wird (fehlender POST) oder über ein Skript gestohlen wird (fehlender HTTPOnly-Code), wird ein Angreifer dennoch nach einem zweiten Faktor gefragt, wenn er versucht, Aktionen mit hohem Risiko auszuführen oder den Zugriff wiederherzustellen.
- Strengere Sitzungszeitüberschreitungen: Wenn Sie nach einer "Anmelden als"-Sitzung keine erneute Anmeldung erzwingen, wird durch Reduzieren der globalen Sitzungszeitüberschreitung (z. B. auf 15 oder 30 Minuten) das Opportunity-Fenster für eine unbeaufsichtigte oder gekaperte Sitzung begrenzt, damit es gültig bleibt.
- IP-Bereiche für die Anmeldung auf Profilebene: Obwohl "bei jeder Anforderung erzwingen" ideal ist, wird durch das Festlegen strenger IP-Bereiche auf Profilebene dennoch sichergestellt, dass die anfängliche Sitzung nur über ein vertrauenswürdiges Netzwerk eingerichtet werden kann.
- Robuste Inhaltssicherheitsrichtlinie (Content Security Policy, CSP): Eine gut konfigurierte CSP kann verhindern, dass bösartige Skripts überhaupt ausgeführt werden, was die Gefahr erheblich reduziert, dass das HTTPOnly-Attribut nicht in Ihren Cookies enthalten ist.
- Strenge Eingabebereinigung und Ausgabecodierung: Indem Sie Cross-Site Scripting (XSS) auf Codeebene (LWC/Aura-Komponenten) verhindern, entfernen Sie die primäre Methode, die ein Angreifer zum Stehlen von Sitzungstoken ohne HTTPOnly-Schutz verwenden würde.
Überlegungen zu Unternehmen und Integration
Durch die Implementierung dieser Steuerelemente wird die Sicherheit erheblich erhöht. Häufige erneute Anmeldungen nach Supportsitzungen können mobile Benutzer jedoch stören, wenn ihre IP-Adressen während einer Sitzung rotieren.
Empfohlene Sanierung
Implementieren Sie sichere Verbindungseinstellungen auf der Plattform.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung überprüft, ob die Einstellungen für sichere Verbindungen in der Organisation erzwungen werden, um die Sitzungen zu schützen.
