Sie befinden sich hier:
Sichere Abmeldeseitensteuerung
Durch diese Steuerung wird sichergestellt, dass der Benutzer automatisch zu einem vordefinierten sicheren URL umgeleitet wird, wenn eine Salesforce-Sitzung auf einer Browserregisterkarte abläuft.
Steuerelementname
Sichere Abmeldung
Empfohlene Konfiguration
- Abmelde-URL: Geben Sie den Abmelde-URL an.
- Aktivieren des Abmelde-URLs für die Umleitung in Ihrem lokalen Browser speichern
Setup>Sitzungseinstellungen>Abmelde-URL|Speichern Sie den Umleitungs-Abmelde-URL in Ihrem lokalen Browser.
Steuerelementübersicht
Durch diese Steuerung wird sichergestellt, dass der Benutzer beim Ablauf einer Salesforce-Sitzung auf einer Browserregisterkarte automatisch zu einem vordefinierten sicheren URL, in der Regel dem Single Sign-On-Abmeldeendpunkt (SSO), und nicht zur Standardanmeldeseite umgeleitet wird. Durch die Erzwingung dieser Umleitung stellt die Organisation eine globale Abmeldung im gesamten Identitätsökosystem sicher und verhindert, dass nicht autorisierte Benutzer erneut auf die Umgebung zugreifen, indem sie Sitzungstoken auf Identitätsanbieterebene beibehalten.
Sicherheitsrisiko, wenn nicht konfiguriert
Wenn die Umleitung abgelaufener Registerkarten zu einem benutzerdefinierten Abmelde-URL nicht aktiviert wird, erhöht sich das Risiko einer nicht autorisierten Sitzungspersistenz, da Benutzer bei einer Sitzungszeitüberschreitung zur Salesforce-Standardanmeldeseite und nicht zum Abmeldeendpunkt des Identitätsanbieters weitergeleitet werden. Dadurch wird der globale Abmeldeprozess umgangen, wodurch die Single Sign-On-Sitzung (SSO) möglicherweise auf IdP-Ebene aktiv bleibt und ein nachfolgender Benutzer auf demselben Gerät erneut auf die Umgebung zugreifen kann, ohne sich erneut zu authentifizieren.
Bedrohungsszenarien
In einer freigegebenen Workstation- oder öffentlichen Terminalumgebung kann es sein, dass ein Benutzer seine Salesforce-Sitzung aussetzen lässt, vorausgesetzt, die Sitzung ist tot. Da die abgelaufene Registerkarte jedoch keine globale Abmeldung beim Identitätsanbieter (IdP) auslöst, bleibt die zugrunde liegende SSO-Sitzung aktiv. Ein opportunistischer Angreifer kann dann einfach auf die Anmeldeschaltfläche klicken, um sich sofort erneut als der vorherige Benutzer zu authentifizieren. So erhalten Sie vollständigen Zugriff auf sensible Daten, ohne jemals zur Eingabe von Anmeldeinformationen aufgefordert zu werden.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Je nach Anzahl der Instanzen im Unternehmen.
Höheres Risiko, wenn
Das Risiko einer nicht autorisierten Sitzungswiederherstellung wird durch zu lange Sitzungs-Timeout-Dauern erheblich erhöht. Dadurch wird das Fenster für den Zugriff eines Angreifers auf eine unbeaufsichtigte Workstation erweitert, bevor die Sitzung abläuft.
Darüber hinaus kann der Browser aufgrund fehlender erzwungener erneuter Authentifizierung auf der Ebene des Identitätsanbieters (IdP) eine Salesforce-Sitzung mithilfe eines verbleibenden IdP-Cookies stillschweigend erneut einrichten, sodass keine erneute Anmeldung oder MFA-Abfrage erforderlich ist, sobald der Benutzer auf der abgelaufenen Registerkarte auf die Schaltfläche "Anmelden" klickt.
Geringes oder kein Risiko, wenn
Organisationen sollten Single Logout (SLO) implementieren, um das Risiko einer nicht autorisierten Sitzungswiederherstellung zu minimieren. Dadurch wird sichergestellt, dass die Sitzung durch Abmeldung bei Salesforce (oder eine Sitzungs-Timeout) auch auf Identity Provider (IdP)-Ebene effektiv beendet wird.
Darüber hinaus bietet die Erzwingung kurzer Sitzungs-Timeout-Dauern (z. B. 15–30 Minuten) und die Anforderung der Multi-Faktor-Authentifizierung (MFA) für jede Anmeldesitzung einen entscheidenden Schutz im Detail. So wird sichergestellt, dass selbst wenn eine Sitzung technisch aktiv bleibt, ein zweiter Faktor oder eine neue Authentifizierung erforderlich ist, um erneut auf sensible Daten zuzugreifen.
Überlegungen zu Unternehmen und Integration
ENTFÄLLT
Empfohlene Sanierung
Umleiten der Anmeldung auf Ihre Unternehmensseite.
Anleitung zur Sicherheitsintegritätsprüfung
Untersuchen Sie die Sicherheitsintegritätsprüfung, um sicherzustellen, dass die Organisation mit einem vordefinierten Abmelde-URL für die Umleitung im Browser konfiguriert ist, damit sie mit Ihrer Unternehmensrichtlinie übereinstimmt.
