breadcrumbDescription
Sikkerhed: Aktiver opdateringstokenrotation
Denne sikkerhedsindstilling ugyldiggør og erstatter hvert opdateringstoken med et nyt, engangsbrugstoken, når en klient bruger det til at få et nyt adgangstoken.
Kontrolnavn
Eksterne klientapps: Sikkerhed: Aktiver opdateringstokenrotation
Anbefalet konfiguration
Aktiver Opdater tokenrotation.
Kontroller oversigt
Denne sikkerhedsindstilling ugyldiggør og erstatter hvert opdateringstoken med et nyt, engangsbrugstoken, når en klient bruger det til at få et nyt adgangstoken.
Sikkerhedsrisiko, hvis den ikke er konfigureret
Uden rotation forbliver et kompromitteret opdateringstoken gyldigt uendeligt eller indtil det udløber, hvilket giver en angriber mulighed for at bevare vedvarende, uautoriseret adgang til miljøet uden nogensinde at skulle godkende igen.
Trusselscenarier
En angriber udtrækker et statisk opdateringstoken fra en lokal enhed eller applikationslog og bruger det til programmeringsmæssigt at generere en kontinuerlig stream af gyldige adgangstokener, der effektivt etablerer en permanent bagdør i Salesforce-forekomsten.
Estimeret CVSS-scoringsinterval
Høj (7,0-8,9).
Overvejelser i forbindelse med risikopåvirkning
Mislykkede implementering af rotation gør det nemmere at udfiltrere data på lang sigt og overtage uregistrerede konti, da angriberen kan forblive logget ind, selvom den lovlige bruger ændrer sin adgangskode eller fuldfører en godkendelsesudfordring med flere faktorer.
Højere risiko når
Risikoen er højere for offentlige klienter som mobilapplikationer eller enkeltsideapplikationer, der lagrer tokener i mindre sikre lokale miljøer, og for integrationer, der er tildelt brede administrative tilladelser.
Lav risiko når
Hvis firmaet håndhæver meget korte absolutte levetider for alle opdateringstokener og bruger streng IP-adressefiltrering for at sikre, at tokener kun bruges fra kendte, betroede netværk.
Overvejelser i forbindelse med forretning og integration
Aktivering af rotation kræver, at klientapplikationen er i stand til at håndtere det opdaterede opdateringstoken, der returneres i hver udveksling, og at den nye værdi bevares korrekt for at undgå synkroniseringsfejl.
Anbefalet rettelse
Gå til OAuth-indstillingerne for den eksterne klientapp, og marker afkrydsningsfeltet for at aktivere opdateringstokenrotation.
Vejledning til sikkerhedstilstandsgennemgang
Sikkerhedstilstandscheck identificerer opdateringstokenrotation som en obligatorisk dybdegående standard for sessionsstyring, så vinduet af salgsmulighed for et stjålet bearertoken er begrænset til en enkelt transaktion.
