Olet tässä:
Tietoturva: Vaadi salaisuus verkkopalvelinkululle
Tämä suojausasetus määrittää, että verkkopalvelimen tai sovelluksen täytyy tarjota Salesforcelle yksilöllinen asiakassalaisuus suorittaakseen käyttöoikeusvaltuuden valtuutuskoodin vaihdon.
Ohjaimen nimi
Ulkoiset asiakassovellukset: Tietoturva: Vaadi salaisuus verkkopalvelinkululle
Suositeltu kokoonpano
Vaadi salaisuus verkkopalvelinkululle.
Ohjauksen yleiskatsaus
Tämä suojausasetus määrittää, että verkkopalvelimen tai sovelluksen täytyy tarjota Salesforcelle yksilöllinen asiakassalaisuus suorittaakseen käyttöoikeusvaltuuden valtuutuskoodin vaihdon.
Tietoturvariski, jos ei määritetty
Ilman vaadittua salaisuutta verkkopalvelinkulku luottaa vain valtuutuskoodiin, joka voidaan siepata selainhistorian, viittaajien otsikoiden tai lokitiedostojen kautta ja vaihtaa myöhemmin istuntoon valtuuttamattomalla toimijalla.
Uhkien skenaariot
Hyökkääjä kaappaa käyttäjän uudelleenohjauksen URI-osoitteesta kelvollisen valtuutuskoodin ja esittää sovelluksen onnistuneesti pyytääkseen käyttöoikeusvaltuutta, koska Salesforcen päätepiste ei vaadi toissijaista palvelinpuolen todennusta.
Arvioitu CVSS-pistealue
Korkea (7.0–8,9).
Riskien vaikutuksissa huomioitavia asioita
Salaamattomien verkkopalvelinkulkujen salliminen mahdollistaa istunnon kaappauksen ja valtuuttamattoman datan käytön, koska pyytävän sovelluksen henkilöllisyyttä ei koskaan vahvisteta kryptografisesti tai hallinnollisesti valtuuksien vaihdon aikana.
Korkeampi riski, kun
Jos sovellus isännöidään jaetussa toimialueessa tai käyttää salattua uudelleenohjauksen URI-osoitetta, tarjota useita vektoreita hyökkääjälle valtuutuskoodin tarkastelemiseksi ja varastamiseksi siirrettäessä.
Matalan riskin milloin
Jos sovellus käyttää jo Proof Key for Code Exchange (PKCE) -todennusavainta jokaiselle transaktiolle, koska se sitoo valtuutuskoodin korkean entropian vahvistukseen, jota hyökkääjä ei tunne.
Liiketoiminnassa ja integraatiossa huomioitavia asioita
Tämän vaatimuksen ottaminen käyttöön varmistaa, että salaisuudet pysyvät suojattuina taustalla olevalla palvelimella, mutta se vaatii, että sovellusrakenne pystyy tallentamaan ja lähettämään salaisuuden turvallisesti paljastamatta sitä asiakassivun selaimelle.
Suositeltu korjaus
Avaa Ulkoisen asiakassovelluksen OAuth-asetukset ja valitse valintaruutu, joka vaatii asiakassalaisuuden verkkopalvelimen kululle.
Tietoturvan terveystarkastuksen ohjeet
Suojauksen terveystarkastus tunnistaa asiakassalaisuuden pakollisen käytön palvelinpuolen kuluissa perustavanlaatuisena syvällisenä puolustusstandardina, joten luottamuksellisia valtuutuskoodeja ei voi aseistaa ilman toissijaista yksityistä tunnusta.
