Benutzerhandbuch Abbrechen

Verbessern der Kontosicherheit für Adobe Connect

Suchen

Zuletzt aktualisiert am 6. Januar 2022 | Gilt auch für Adobe Connect 10, Adobe Connect 9

Adobe Connect-Administratoren können die Einstellungen für die sichere HTTPS-Verbindungen aktivieren und erzwingen, um die Sicherheit des Servers zu optimieren.

Adobe Connect-Administratoren können die Sicherheit ihres Kontos auf der Registerkarte „Administration“ verbessern.

Klicken Sie auf „Administration“ > „Konto“ > „Weitere Einstellungen“.
Wählen Sie „SSL-Verbindung erforderlich (RTMPS)“, sodass Adobe Connect die Verwendung des RTMPS-Protokolls erzwingt.
Wählen Sie „Erweiterte Sicherheit aktivieren“, um Web Services APIs zu zwingen, eine sichere Verbindung (HTTPS) zu verwenden und eine neue Sitzungskennung nach erfolgreicher Anmeldung zu generieren.

Hinweis: Adobe empfiehlt die Überprüfung der Option „Erweiterte Sicherheit“.

Schutz vor websiteübergreifender Anforderungsfälschung (CSRF)

Mit Adobe Connect können Endbenutzer und Administratoren den CSRF-Schutz für XML-API-Aufrufe erzwingen, die den Status ändern.

Es wird empfohlen, den CSRF-Schutz für XML-APIs zu aktivieren, denn dies ist die sicherste Konfiguration.

So aktivieren Sie den CSRF-Schutz:

Klicken Sie auf der Adobe Connect-Startseite auf Administration > Konto > Weitere Einstellungen.
Aktivieren Sie im Abschnitt CSRF-Einstellungen die Option CSRF-Schutz für XML-API aktivieren.

Hinweis: Wenn Adobe Connect 11.4 als Patch über einer früheren Version installiert wurde, ist die Option standardmäßig deaktiviert.
Der CSRF-Schutz basiert darauf, dass der Client ein sicheres sitzungsspezifisches CSRF-Cookie und einen entsprechenden Anforderungsparameter sendet. Alle API-Aufrufe, die den Status ändern, sind geschützt, z. B.:
- acl-create
- acl-field-update
- acl-multi-field-update
- permissions-update
- sco-update
- sco-upload
Führen Sie die folgenden Schritte durch:

1. Nach der Authentifizierung werden die folgenden Cookies generiert:
- BREEZESESSION als zentrales Connect-Sitzungs-Cookie
- BreezeCCookie als CSRF-Cookie, basierend auf dem Connect-Sitzungs-Cookie
2. Rufen Sie die Common-Info-API auf und ermitteln Sie das CSRF-Token für das CSRF-Cookie (BreezeCCookie).
- Das CSRF-Token wird zurückgegeben als <OWASP_CSRFTOKEN><token>...........</token></OWASP_CSRFTOKEN>
3. Senden Sie alle nachfolgenden HTTP GET API-Aufrufe, die den Status mit dem BreezeCookie ändern, als Cookie und mit einem OWASP_CSRFTOKEN. Ein Beispiel:

https://\[SERVER_URL\]/api/xml?action=\[state changing action\]&........&OWASP_CSRFTOKEN=[token_extracted_above]

4. Für Integrationen, die einzelne oder mehrere XML-APIs über eine einzige HTTP-POST-Methode aufrufen, senden Sie das OWASP_CSRFTOKEN (zusammen mit dem CSRF-Cookie BreezeCCookie) wie folgt:

<actions mode='...' OWASP_CSRFTOKEN=[token_extracted_above]>
Aktivieren Sie die Option Ausgenommen CSRF-Schutz für XML-API-Aufrufe zu folgendem Pfad.

Wenn Sie diese Option aktivieren, wird eine vom Server generierte sichere URL angezeigt. Mit dieser URL können Konten mit XML-API-Integrationen ihre XML-API-Aufrufe über einen sicheren und eindeutigen, vom Server generierten URL-Pfad fortsetzen.