Olet tƤssƤ:
Tietoturva: Vaadi salaisuus pƤivitysvaltuuden kululle
TƤmƤ suojausasetus mƤƤrittƤƤ, ettƤ sovelluksen tƤytyy tarjota asiakassalaisuus pƤivitysvaltuuden kanssa saadakseen uuden, aktiivisen kƤyttƶoikeusvaltuuden Salesforce-valtuutuspalvelimelta.
Ohjaimen nimi
Ulkoiset asiakassovellukset: Tietoturva: Vaadi salaisuus pƤivitysvaltuuden kululle
Suositeltu kokoonpano
Vaadi salaisuus PƤivitƤ valtuus -kululle.
Ohjauksen yleiskatsaus
TƤmƤ suojausasetus mƤƤrittƤƤ, ettƤ sovelluksen tƤytyy tarjota asiakassalaisuus pƤivitysvaltuuden kanssa saadakseen uuden, aktiivisen kƤyttƶoikeusvaltuuden Salesforce-valtuutuspalvelimelta.
Tietoturvariski, jos ei mƤƤritetty
Ilman vaadittua salaisuutta vaarantunut pƤivitysvaltuus voidaan kƤyttƤƤ valtuuttamattomalla toimijalla luodakseen loputtoman sarjan kelvollisia istuntoja ilman, ettƤ heidƤn tƤytyisi kƤyttƤƤ toissijaista palvelinpuolen todennusta.
Uhkien skenaariot
HyƶkkƤƤjƤ noutaa pitkƤaikaisen pƤivitysvaltuuden paikallisesta laitteesta tai sovelluslokista ja luo onnistuneesti uudet kƤyttƶoikeusvaltuudet ohjelmallisesti omasta infrastruktuuristaan, koska pƤƤtepiste ei vahvista sovelluksen yksityisiƤ tunnuksia.
Arvioitu CVSS-pistealue
Korkea (7.0ā8,9).
Riskien vaikutuksissa huomioitavia asioita
Salaamattomien pƤivitysjaksojen salliminen sallii jatkuvan, havaitsemattoman datan suodattamisen ja tilien valtuuttamattoman kƤytƶn, joka pysyy aktiivisena, vaikka kƤyttƤjƤn alustava sisƤƤnkirjautumisistunto olisi pƤƤttynyt.
Korkeampi riski, kun
Jos sovellus ei ota kƤyttƶƶn Refresh Token Rotation (RTR) -ominaisuutta tai jos pƤivitysvaltuuksilla on mƤƤrittƤmƤtƶn elinkaari, tarjoa pysyvƤ taustapalvelu hyƶkkƤƤjƤlle.
Matalan riskin milloin
Jos yhtiƶ soveltaa integraatiokƤyttƤjƤlle tiukkoja IP-osoiterajoituksia ja kƤyttƤƤ lyhytaikaisia pƤivitysvaltuuksia, jotka vaativat usein interaktiivisen todennuksen.
Liiketoiminnassa ja integraatiossa huomioitavia asioita
TƤmƤn vaatimuksen ottaminen kƤyttƶƶn varmistaa, ettƤ salaisuudet pysyvƤt suojattuina taustalla olevalla palvelimella, mutta estƤƤ julkisia asiakassovelluksia, kuten mobiili- tai yksisivuisia sovelluksia, pƤivittƤmƤstƤ istuntoja suoraan ilman suojattua vƤlityspalvelinta.
Suositeltu korjaus
Avaa Ulkoisen asiakassovelluksen OAuth-asetukset ja valitse valintaruutu, joka vaatii asiakassalaisuuden pƤivitysvaltuuden kululle.
Tietoturvan terveystarkastuksen ohjeet
Suojauksen terveystarkastus tunnistaa asiakassalaisuuden pakollisen kƤytƶn pƤivitystoiminnoissa kriittisenƤ syvƤllisenƤ puolustusstandardina, joten varastettuja haltijatunnuksia ei voi aseistata ilman sitƤ vastaavaa yksityistƤ sovellustunnusta.
