Ti trovi qui:
Impostazioni app Web: Verifica firme richiesta - Seleziona
Questa impostazione di sicurezza impone alla piattaforma di convalidare la firma digitale di ogni richiesta SAML o OAuth in entrata con un certificato pubblico affidabile per garantire che il mittente sia autentico.
Nome controllo
Applicazioni connesse: Impostazioni app Web: Verifica firme delle richieste - Seleziona
Configurazione consigliata
Impostazioni app Web: Verificare le firme delle richieste - Selezionare.
Panoramica sul controllo
Questa impostazione di sicurezza impone alla piattaforma di convalidare la firma digitale di ogni richiesta SAML o OAuth in entrata con un certificato pubblico affidabile per garantire che il mittente sia autentico.
Rischio per la sicurezza se non configurato
La mancata verifica delle firme delle richieste di app per le app Web connesse comporta il rischio di manomissione dei dati e di modifiche non autorizzate del sistema tramite richieste non convalidate intercettate o modificate.
Scenari di minaccia
Un aggressore intercetta una richiesta di autenticazione non crittografata e modifica l'identificatore utente o le richieste di autorizzazione per ottenere un accesso elevato prima che la richiesta raggiunga l'endpoint del fornitore di servizi Salesforce.
Intervallo di punteggi CVSS stimato
Alto (7,0–8,9).
Considerazioni sull'impatto del rischio
La mancata applicazione della verifica della firma facilita l'esecuzione di azioni amministrative non autorizzate e la potenziale esfiltrazione di record sensibili tramite parametri di integrazione manipolati.
Rischio maggiore quando
Quando l'applicazione connessa elabora transazioni finanziarie di valore elevato o quando l'organizzazione consente l'uso di canali HTTP non sicuri per la trasmissione dei metadati di autenticazione.
Basso rischio quando
Se l'organizzazione utilizza un'autorità di certificazione per emettere chiavi di firma di breve durata e applica la protezione reciproca del livello di trasporto per tutte le comunicazioni a livello di API.
Considerazioni su Business e integrazione
L'implementazione della verifica della firma garantisce il non ripudio di tutte le richieste in entrata, anche se richiede che il fornitore di servizi esterno disponga dell'overhead computazionale necessario per firmare ogni payload in uscita.
Rimedio consigliato
Accedere a Impostazioni app Web per l'applicazione connessa e selezionare la casella di controllo per verificare le firme delle richieste assicurandosi che il certificato di verifica corretto sia attivo.
Guida all'esame dello stato della sicurezza
Security Health Review identifica la verifica delle firme delle richieste come uno standard fortemente consigliato per la protezione dagli attacchi di riproduzione delle richieste e modifica dei messaggi all'interno degli ambienti con identità federata.
