App registrations should no longer use secrets
Perché è importante
I segreti delle applicazioni, come i client secret o le password, possono essere compromessi se memorizzati in modo improprio o esposti nei repository di codice. Gli aggressori che ottengono questi segreti possono impersonare le tue applicazioni e accedere a dati sensibili senza autorizzazione. Passare all'autenticazione basata su certificati o alle identità gestite elimina questo rischio rimuovendo le credenziali statiche e di lunga durata.
Cosa controlla Aether365
Questo controllo analizza il tuo tenant Microsoft 365 per trovare registrazioni di app che utilizzano ancora client secret per l'autenticazione. Viene visualizzato nel dashboard di Aether365 sotto la sezione dei controlli microsoft-365 e evidenzia le applicazioni che dovrebbero essere aggiornate con metodi di autenticazione più sicuri.
Come risolvere
- Accedi al Azure portal (portal.azure.com) e vai su Azure Active Directory > App registrations.
- Seleziona la registrazione dell'app che utilizza segreti.
- Sotto Manage, fai clic su Certificates and secrets.
- Rimuovi eventuali client secret esistenti e aggiungi invece un certificato. Carica un file di certificato pubblico (.cer) nella registrazione dell'app.
- Aggiorna il codice dell'applicazione per autenticarsi utilizzando il certificato, non il segreto.
- Per le applicazioni in esecuzione in Azure, considera l'uso di identità gestite per evitare di gestire qualsiasi credenziale.
Conformità
- CIS Microsoft 365 Foundations Benchmark: Non mappato direttamente
- CISA Azure Security Baseline: Fa riferimento alle best practice per le registrazioni delle app
- EIDSCA: Nessuna mappatura specifica
Risorse correlate
- Microsoft Learn: Best practice per i segreti delle registrazioni delle app
- Microsoft Learn: Panoramica delle identità gestite