Instellingen voor beveiligde verbindingen (HTTPS)

Controlenaam

Instellingen voor beveiligde verbindingen (HTTPS)

Aanbevolen configuratie

• Opnieuw inloggen afdwingen na inloggen als gebruiker inschakelen
• Schakel HTTPOnly-kenmerk vereisen in
• Inlog-IP-bereiken afdwingen voor elk verzoek
• Postverzoek gebruiken voor het verzenden van sessiegegevens voor domeinoverschrijdende sessies inschakelen

Set-up>Sessie-instellingen>Opnieuw inloggen na inloggen als gebruik afdwingen|HTTPOnly-kenmerk vereisen|inlog-IP-bereiken voor elk verzoek|Postverzoek gebruiken om sessiegegevens te verzenden voor domeinoverschrijdende sessies.

Overzicht van besturingselementen

Dit meerlaagse besturingsframework versterkt de sessie-integriteit door continue IP-validatie voor elk verzoek af te dwingen en sessietokens af te schermen tegen ongeoorloofde scripttoegang via het kenmerk HTTPOnly. Bovendien voorkomt het sessielekkage tijdens cross-domein navigatie door middel van POST-verzoeken en zorgt het voor administratieve verantwoordelijkheid door een nieuwe login te vereisen onmiddellijk na elke "Inloggen als"-sessie.

Beveiligingsrisico indien niet geconfigureerd

Als u deze besturingselementen niet inschakelt, worden sessies via Cross-Site Scripting-aanvallen (XSS-aanvallen) en URL-lekkage tijdens cross-domeinnavigatie zichtbaar, wat het risico op sessie-overname aanzienlijk vergroot. Bovendien wordt de organisatie geconfronteerd met ongeautoriseerde toegang als gebruikers halverwege de sessie overstappen naar niet-vertrouwde netwerken of als beheerders actieve sessies onderhouden nadat ze zich zonder hernieuwde authenticatie hebben voorgedaan als gebruikers.

Dreigingsscenario's

Een aanvaller maakt misbruik van een kwetsbaarheid voor cross-site scripting (XSS) om een sessiecookie te stelen die geen HTTPOnly-bescherming heeft, en onderhoudt vervolgens naadloos toegang vanaf een niet-vertrouwd netwerk omdat het systeem het IP-adres van de gebruiker niet bij elk verzoek opnieuw verifieert. Ondertussen worden gevoelige sessie-ID's gelekt door browserlogboeken tijdens cross-domein navigatie, en blijft een gekaapte beheerdersaccount actief en onbetwist lang nadat een "Inloggen als"-sessie is voltooid.

Geschatte CVSS-scorebereik

Kritiek (9,0–10,0).

Overwegingen bij risico-impact

Het aantal gebruikers, diverse profielen die zijn toegewezen aan de gebruikers en gegevens of objecten waartoe elk profiel toegang heeft.

Hoger risico wanneer

Het risico dat deze instellingen uitgeschakeld blijven, wordt aanzienlijk vergroot door het ontbreken van een robuust Content Security Policy (CSP), waardoor het systeem kwetsbaar is voor scripts die sessiecookies gemakkelijk kunnen schrapen als het kenmerk HTTPOnly ontbreekt.

Laag of geen risico wanneer

Als u de risico's wilt beperken wanneer deze specifieke sessiebeveiligingsinstellingen niet zijn ingeschakeld, kunt u een "Defense-in-Depth"-strategie implementeren met behulp van deze compenserende besturingselementen:

• Verplichte multi-factorenauthenticatie (MFA): Zelfs als een sessie-ID wordt gelekt via een URL (ontbrekende POST) of wordt gestolen via een script (ontbrekende HTTPOnly), wordt een aanvaller nog steeds voor een tweede factor uitgedaagd als deze probeert acties met hoog risico uit te voeren of toegang probeert te herstellen.
• Striktere sessietime-outs: Als u opnieuw inloggen niet afdwingt na een sessie "Inloggen als", beperkt het reduceren van de globale sessietime-out (bijvoorbeeld tot 15 of 30 minuten) de opportunityperiode voor een onbeheerde of gekaapte sessie om geldig te blijven.
• Inlog-IP-bereiken op profielniveau: Hoewel "afdwingen voor elk verzoek" ideaal is, zorgt het instellen van strikte IP-bereiken op profielniveau er nog steeds voor dat de initiële sessie alleen tot stand kan worden gebracht vanaf een vertrouwd netwerk.
• Robuust Content Security Policy (CSP): Een goed geconfigureerde CSP kan de uitvoering van kwaadwillende scripts überhaupt verhinderen, wat het gevaar aanzienlijk verkleint dat het kenmerk HTTPOnly niet aanwezig is in uw cookies.
• Strikte invoersanering en uitvoercodering: Door Cross-Site Scripting (XSS) op codeniveau (LWC/Aura-componenten) te voorkomen, verwijdert u de primaire methode die een aanvaller zou gebruiken om sessietokens te stelen die geen HTTPOnly-bescherming hebben.

Overwegingen bij bedrijf en integratie

Het implementeren van deze besturingselementen verhoogt de beveiliging aanzienlijk, maar frequent opnieuw inloggen na ondersteuningssessies kan mobiele gebruikers verstoren als hun IP-adressen tijdens een sessie roteren.

Aanbevolen oplossing

Implementeer instellingen voor beveiligde verbindingen op het platform.

Begeleiding bij beoordeling van beveiligingstoestand

Beoordeling van beveiligingstoestand controleert of de instellingen voor Beveiligde verbinding worden afgedwongen in de organisatie om de sessies te beveiligen.