U bent hier:
Beveiliging: Rotatie van vernieuwingstoken inschakelen
Deze beveiligingsinstelling maakt elk vernieuwingstoken ongeldig en vervangt dit door een nieuw token voor eenmalig gebruik telkens wanneer een client dit gebruikt om een nieuw toegangstoken te verkrijgen.
Controlenaam
Externe clientapps: Beveiliging: Rotatie van vernieuwingstoken inschakelen
Aanbevolen configuratie
Schakel Rotatie van vernieuwingstoken in.
Overzicht van besturingselementen
Deze beveiligingsinstelling maakt elk vernieuwingstoken ongeldig en vervangt dit door een nieuw token voor eenmalig gebruik telkens wanneer een client dit gebruikt om een nieuw toegangstoken te verkrijgen.
Beveiligingsrisico indien niet geconfigureerd
Zonder rotatie blijft een gecompromitteerd vernieuwingstoken voor onbepaalde tijd of tot het vervallen ervan geldig, waardoor een aanvaller aanhoudende, ongeoorloofde toegang tot de omgeving kan behouden zonder zich ooit opnieuw te hoeven authenticeren.
Dreigingsscenario's
Een aanvaller extraheert een statisch vernieuwingstoken uit een lokaal apparaat- of toepassingslogboek en gebruikt dit om programmatisch een continue stroom geldige toegangstokens te genereren, waardoor er in feite een permanente achterdeur naar het Salesforce-exemplaar wordt gemaakt.
Geschatte CVSS-scorebereik
Hoog (7,0–8,9).
Overwegingen bij risico-impact
Het niet implementeren van roulatie vergemakkelijkt gegevensexfiltratie op de lange termijn en onopgemerkte accountovername, aangezien de aanvaller ingelogd kan blijven, zelfs als de legitieme gebruiker zijn wachtwoord wijzigt of een uitdaging voor multi-factorenauthenticatie voltooit.
Hoger risico wanneer
Het risico is groter voor openbare clients zoals mobiele toepassingen of toepassingen van één pagina waarin tokens worden opgeslagen in minder veilige lokale omgevingen en voor integraties waaraan brede beheermachtigingen zijn verleend.
Laag risico wanneer
Als het bedrijf zeer korte absolute levensduur afdwingt voor alle vernieuwingstokens en strikte IP-adresfiltering gebruikt om ervoor te zorgen dat tokens alleen worden gebruikt vanuit bekende, vertrouwde netwerken.
Overwegingen bij bedrijf en integratie
Het inschakelen van roteren vereist dat de clienttoepassing in staat is om het bijgewerkte vernieuwingstoken te verwerken dat bij elke uitwisseling wordt geretourneerd, en dat de nieuwe waarde met succes wordt behouden om synchronisatiefouten te voorkomen.
Aanbevolen oplossing
Ga naar de OAuth-instellingen van de Externe client-app en schakel het selectievakje in om rotatie van vernieuwingstokens in te schakelen.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert vernieuwingstokenrotatie als een verplichte diepgaande standaard voor sessiebeheer, zodat de opportunityperiode voor een gestolen bearertoken wordt beperkt tot één transactie.
