Miglioramento del livello di protezione dell’account di Adobe Connect

Nella pagina centrale di Adobe Connect, fai clic su Amministrazione > Account > Altre impostazioni.

Nella sezione Impostazioni CSRF, seleziona l’opzione Abilita la protezione CSRF per le API XML.

Nota: Se Adobe Connect 11.4 è stato installato come patch rispetto a una versione precedente, l’opzione sarà deselezionata per impostazione predefinita.

La protezione CSRF si basa sul client per inviare un cookie CSRF sicuro specifico della sessione e un parametro di richiesta corrispondente. Tutte le chiamate API che modificano lo stato sono protette, ad esempio:

• acl-create
• acl-field-update
• acl-multi-field-update
• permissions-update
• sco-update
• sco-upload

Segui i passaggi riportati di seguito:

1. Dopo l’autenticazione, vengono generati i seguenti cookie:

• BREEZESESSION come cookie di sessione Connect principale
• BreezeCCookie come cookie CSRF, basato sul cookie di sessione di Connect

2. Chiama l’API common-info per ottenere il token CSRF corrispondente al cookie CSRF (BreezeCCookie).

• il token CSRF viene restituito come <OWASP_CSRFTOKEN><token>...........</token></OWASP_CSRFTOKEN>

3. Invia tutte le successive chiamate HTTP GET API che cambiano stato con BreezeCCookie come cookie e OWASP_CSRFTOKEN. Per esempio:

     https://\[SERVER_URL\]/api/xml?action=\[state changing action\]&........&OWASP_CSRFTOKEN=[token_extracted_above]

4. Per le integrazioni che chiamano una o più API XML tramite un unico metodo HTTP POST, invia OWASP_CSRFTOKEN (insieme al cookie CSRF BreezeCCookie), come illustrato di seguito:

    <actions mode='...' OWASP_CSRFTOKEN=[token_extracted_above]>

Attiva l’opzione Escludi la protezione CSRF per le chiamate API XML al percorso seguente.

Quando selezioni questa opzione, viene visualizzato un URL sicuro generato dal server. Questo URL consente agli account con integrazioni API XML di continuare a effettuare le chiamate API XML con un percorso URL sicuro e univoco generato dal server.