Руководство пользователя Отмена

Повышение безопасности учетных записей Adobe Connect

Поиск

Последнее обновление 6 янв. 2022 г. | Также применяется к Adobe Connect 10, Adobe Connect 9

Администраторы Adobe Connect могут сделать обязательным использование защищенных подключений HTTPS для обеспечения безопасностей своих серверов.

Администраторы Adobe Connect могут управлять безопасностью учетных записей с помощью вкладки «Администрирование».

Щелкните «Администрирование» > «Учетная запись» > «Другие настройки».
Выберите «Требуется подключение SSL (RTMPS)» для использования протокола RTMPS в Adobe Connect.
Выберите «Включить расширенную безопасность», чтобы API веб-служб использовали безопасное подключение HTTPS и создали новый идентификатор сеанса после успешного входа.

Примечание: Adobe рекомендует проверять использование параметра «Повышенный уровень защиты».

Защита от атак методом межсайтовой подделки запроса (CSRF)

Adobe Connect позволяет пользователям и администраторам применять защиту от CSRF-атак для вызовов API XML с изменением состояния.

Рекомендуется включить защиту от CSRF-атак для API XML, так как это наиболее безопасная конфигурация.

Чтобы включить защиту от CSRF-атак, выполните следующие действия.

На странице портала Adobe Connect Central щелкните «Администрирование» > «Учетная запись» > «Другие настройки».
В разделе Параметры CSRF выберите параметр Разрешить защиту от атак CSRF для XML API.

Примечание. Если Adobe Connect 11.4 устанавливался как исправление в предыдущей версии, этот параметр по умолчанию будет отключен.
Защита от атак CSRF использует клиент для отправки зависимых от сеанса защищенных cookie-файлов CSRF и соответствующего параметра запроса. Все вызовы API с изменением состояния являются защищенными, например:
- acl-create
- acl-field-update
- acl-multi-field-update
- permissions-update
- sco-update
- sco-upload
Выполните следующие действия.

1. После проверки подлинности генерируются следующие cookie-файлы:
- BREEZESESSION в качестве основного cookie сеанса Connect
- BreezeCCookie в качестве cookie-файлы CSRF с учетом cookie сеанса Connect
2. Вызов общего информационного API для получения токена CSRF, соответствующего cookie-файлу CSRF (BreezeCCookie).
- токен CSRF возвращается как <OWASP_CSRFTOKEN><token>..........</token></OWASP_CSRFTOKEN>
3. Отправка всех последующих вызовов API HTTP GET, которые изменяют состояние, с BreezeCCookie в качестве cookie-файла и OWASP_CSRFTOKEN. Например:

https://\[SERVER_URL\]/api/xml?action=\[state changing action\]&........&OWASP_CSRFTOKEN=[token_extracted_above]

4. Для интеграций, вызывающих один или несколько API XML посредством одного метода HTTP POST, следует отправить OWASP_CSRFTOKEN (вместе с cookie-файлом BreezeCCookie CSRF), как показано ниже:

<actions mode='...' OWASP_CSRFTOKEN=[token_extracted_above]>
Включите параметр Исключение защиты CSRF для вызовов API XML по следующему пути.

Если этот параметр выбран, отображается безопасный URL-адрес, созданный сервером. Этот URL-адрес учитывает интеграции API XML, чтобы продолжить выполнять вызовы API XML с использованием безопасного уникального URL-адреса, созданного сервером.