Sie befinden sich hier:
Sicherheit: Ausstellen von JSON-Webtoken (JWT)-basierten Zugriffstoken für benannte Benutzer
Diese Sicherheitseinstellung stellt den Salesforce-Autorisierungsserver von der Ausstellung opaker referenzbasierter Zugriffstoken auf die Ausstellung eigenständiger kryptographisch signierter JSON-Webtoken um.
Steuerelementname
Externe Client-Anwendungen: Sicherheit: Ausstellen von JSON-Webtoken (JWT)-basierten Zugriffstoken für benannte Benutzer
Empfohlene Konfiguration
Stellen Sie JSON-Webtoken-basierte Zugriffstoken für benannte Benutzer aus.
Steuerelementübersicht
Diese Sicherheitseinstellung stellt den Salesforce-Autorisierungsserver von der Ausstellung opaker referenzbasierter Zugriffstoken auf die Ausstellung eigenständiger kryptographisch signierter JSON-Webtoken um, die Benutzeridentität und Berechtigungsansprüche enthalten.
Sicherheitsrisiko, wenn nicht konfiguriert
Wenn dies nicht aktiviert ist, müssen externe Systeme für jede Anforderung zur Überprüfung der Tokengültigkeit einen Stateful Callout an den Salesforce-Selbstprüfungsendpunkt ausführen, was die Latenz erhöht und eine Abhängigkeit von der Echtzeitverfügbarkeit für die Autorisierung schafft.
Bedrohungsszenarien
Ein externer Ressourcenserver kann die Integrität oder den Umfang eines veralteten undurchsichtigen Tokens während einer Netzwerkpartition nicht unabhängig überprüfen, was zu einem Totalausfall des Service oder zur möglichen Verarbeitung nicht autorisierter Anforderungen führt, wenn eine fehlerhafte Öffnungslogik implementiert ist.
Geschätzter CVSS-Bewertungsbereich
Hoch (7,0–8,9).
Überlegungen zu Risikoauswirkungen
Die Verwendung von opaken Token in stark verteilten Architekturen führt zu einem erhöhten Verarbeitungsaufwand und schränkt die Möglichkeit externer Microservices ein, detaillierte, lokalisierte Autorisierungsprüfungen auf der Grundlage von standardmäßigen JWT-Claims durchzuführen.
Höheres Risiko, wenn
Das Risiko ist in Umgebungen mit hohem Volumen und mehreren Clouds höher, in denen die Latenz konstanter Rückkanal-Selbstprüfungsaufrufe die Anwendungsleistung beeinträchtigen und den Autorisierungsserver Denial-of-Service-Bedingungen aussetzen kann.
Geringes Risiko, wenn
Das Risiko für einfache monolithische Integrationen, bei denen sich der Ressourcenserver und der Autorisierungsserver im selben vertrauenswürdigen Netzwerk befinden und der Aufwand für die Token-Selbstprüfung vernachlässigbar ist, ist geringer.
Überlegungen zu Unternehmen und Integration
Durch die Aktivierung von JWT-basierten Token wird die Kompatibilität mit modernen API-Gateways und Services außerhalb der Plattform verbessert, die standardisierte Token ohne Status erfordern. Diese Systeme müssen jedoch öffentliche Schlüssel für die Signaturüberprüfung verwalten.
Empfohlene Sanierung
Wechseln Sie zu den OAuth-Einstellungen der externen Client-Anwendung und aktivieren Sie das Kontrollkästchen, um JSON-Webtoken (JWT)-basierte Zugriffstoken für benannte Benutzer auszustellen.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert die Verwendung von JWT-basierten Zugriffstoken als obligatorischen Standard für moderne, interoperable Architekturen, sodass Identitäts- und Autorisierungsdaten zustandslos über verschiedene Technologiestapel hinweg überprüft werden können.
