U bent hier:
Beveiliging: Geheim vereisen voor stroom voor vernieuwen van token
Deze beveiligingsinstelling vereist dat een toepassing een geldig clientgeheim naast een vernieuwingstoken opgeeft om een nieuw, actief toegangstoken te verkrijgen van de Salesforce-autorisatieserver.
Controlenaam
Externe clientapps: Beveiliging: Geheim vereisen voor vernieuwingstokenstroom
Aanbevolen configuratie
Een geheim vereisen voor stroom voor vernieuwingstoken.
Overzicht van besturingselementen
Deze beveiligingsinstelling vereist dat een toepassing een geldig clientgeheim naast een vernieuwingstoken opgeeft om een nieuw, actief toegangstoken te verkrijgen van de Salesforce-autorisatieserver.
Beveiligingsrisico indien niet geconfigureerd
Zonder verplicht geheim kan een gecompromitteerd vernieuwingstoken worden gebruikt door een niet-geverifieerde actor om een eindeloze reeks geldige sessies te genereren zonder enige secundaire authenticatie aan serverzijde.
Dreigingsscenario's
Een aanvaller extraheert een lang bestaand vernieuwingstoken uit een lokaal apparaat- of toepassingslogboek en genereert programmatisch nieuwe toegangstokens vanuit de eigen infrastructuur, omdat het eindpunt de privéinloggegevens van de toepassing niet verifieert.
Geschatte CVSS-scorebereik
Hoog (7,0–8,9).
Overwegingen bij risico-impact
Als u vernieuwingscycli zonder geheimen toestaat, kunt u gegevens blijven exfiltreren en ongeautoriseerde accounttoegang krijgen, die actief blijft zelfs nadat de initiële inlogsessie van een gebruiker is verlopen.
Hoger risico wanneer
Als de toepassing RTR (Refresh Token Rotation) niet implementeert of als de vernieuwingstokens een onbeperkte levensduur hebben, biedt dit een permanente achterdeur voor een aanvaller.
Laag risico wanneer
Als het bedrijf strikte IP-adresbeperkingen afdwingt voor de integratiegebruiker en kortdurende vernieuwingstokens gebruikt die frequente interactieve hernieuwde authenticatie vereisen.
Overwegingen bij bedrijf en integratie
Het inschakelen van deze vereiste zorgt ervoor dat geheimen beschermd blijven op de back-endserver, maar voorkomt dat openbare clients zoals mobiele toepassingen of toepassingen van één pagina sessies rechtstreeks vernieuwen zonder een veilige proxy.
Aanbevolen oplossing
Navigeer naar de OAuth-instellingen van de app Externe client en schakel het selectievakje in om het clientgeheim te vereisen voor de stroom voor het vernieuwingstoken.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert het verplichte gebruik van een klantgeheim voor vernieuwingsbewerkingen als een kritieke, diepgaande standaard, zodat gestolen bearertokens niet kunnen worden bewapend zonder het corresponderende privétoepassingsgegeven.
