Du er her:
Sikkerhet: Krev bevisnøkkel for kodeutveksling (PKCE)
Denne sikkerhetsinnstillingen krever et kryptografisk håndtak på tvers av alle kompatible OAuth 2.
Navn på kontroll
Eksterne klientapper: Sikkerhet: Krev bevisnøkkel for kodeutveksling (PKCE)
Anbefalt konfigurasjon
Krev utvidelsen Proof Key for Code Exchange (PKCE) for støttede godkjenningsflyter.
Oversikt over kontroll
Denne sikkerhetsinnstillingen krever et kryptografisk håndtak på tvers av alle kompatible OAuth 2.0-utstedelsestyper der klienten sender en hash-kodevisning under den første forespørselen, og en kodeverifikator med ren tekst under tokenutvekslingen for å binde forespørselen til den spesifikke klientforekomsten.
Sikkerhetsrisiko hvis ikke konfigurert
Uten PKCE håndheves på tvers av alle støttede flyter, kan en oppfanget godkjenningskode eller mellomliggende legitimasjon utveksles vellykket for et tilgangstoken av en skadelig utøver fordi godkjenningsserveren mangler en teknisk mekanisme for å bekrefte identiteten til den opprinnelige anroperen.
Trusselscenarier
En angriper fanger opp en gyldig godkjenningskode eller oppfangbar legitimasjon fra en vellykket pålogging – via nettleserhistorikk, systemlogger eller oppfanging av tilpasset URI-skjema – og innhenter programmatisk et gyldig økttoken før den legitime klienten kan fullføre håndtaket.
Beregnet CVSS Score-område
Høyt (7.0–8,9).
Viktige punkter om risikoinnvirkning
Mislykket håndheving av PKCE på tvers av alle aktuelle flyter tillater omfattende øktkapring og uautorisert datatilgang, spesielt målrettede integrasjoner der en statisk klienthemmelighet enten ikke brukes eller har blitt kompromittert.
Høyere risiko når
Risikoen er høyere for offentlige klienter, som innebygde mobilprogrammer og nettprogrammer med én side (SPA-er), fordi disse plattformene ikke kan lagre en klienthemmelighet sikkert og ofte opererer i miljøer der omdirigering av trafikk kan observeres.
Lav risiko når
Scenariet er mindre risiko hvis organisasjonen utelukkende bruker konfidensielle klienter på sikre serverdeltjenester som allerede håndhever en obligatorisk klienthemmelighet og opererer innenfor et strengt isolert nettverksområde.
Viktige punkter om virksomheten og integrasjonen
Aktivering av dette kravet på tvers av alle støttede flyter krever at alle integrerte klientprogrammer støtter S256-transformasjonsmetoden og behandler unike strenger med høy entropi for hver transaksjon.
Anbefalt rettelse
Gå til OAuth-innstillingene i den eksterne klientappen, og merk av for Krev bevisnøkkel for kodeutveksling (PKCE) for alle støttede godkjenningsflyter.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer PKCE som en obligatorisk arkitektonisk standard for alle moderne identitets- og autorisasjonsflyter, slik at hver tokenutveksling er kryptografisk bundet til den spesifikke klientforekomsten for å hindre legitimasjonsinnsetting og oppfanging.
