Protección de sistemas y comunicaciones

Comunicación segura

La seguridad de la capa de transporte (TLS) es un protocolo de protección de las comunicaciones en Internet. La TLS se asegura de que otra entidad no lea ni modifique una comunicación. Blackboard utiliza TLS para proteger las comunicaciones entre el servidor web y el equipo cliente.

Gestión de sesiones

Ciclo de vida del ID de sesión

Cada sesión en Blackboard está protegida por un identificador de sesión criptográficamente seguro, almacenado dentro de una cookie del navegador. Para poder evitar los ataques de fijación de sesión, este identificador se rota al cargar la página, después de iniciar sesión exitosamente y después de cerrar sesión.

Cookies

Establecemos dos marcas de cookies simples como medida adicional contra el secuestro de sesión en la cookie relacionada con la administración de sesiones de forma predeterminada: HttpOnly y Secure.

BbRouter es la única cookie utilizada para la gestión de sesiones. Tiene el conjunto de indicadores HttpOnly que proporciona una capa adicional de protección contra el acceso no autorizado por parte de scripts del lado cliente potencialmente maliciosos. Blackboard ha requerido durante mucho tiempo que TLS esté habilitado en todo el sistema. Con mucha precaución, el indicador Seguro está configurado para evitar que el navegador envíe la cookie a través de HTTP sin TLS ("SSL").

La cookie JSESSIONID no está relacionada con la administración de sesiones y no tiene establecida la marca HttpOnly ni la marca Secure.

En SaaS, hay dos cookies adicionales que no tienen las marcas Secure y HttpOnly: AWSELB y AWSELBCORS. Blackboard es en gran parte apátrida, sin embargo, existe un mínimo de afinidad de sesión que se implementa en el equilibrador de carga que utiliza esas cookies. Puede obtener más información sobre estas cookies en el artículo de AWS Configuración de sesiones fijas para su Classic Load Balancer .

Caducidad de la sesión

Las sesiones expiran automáticamente si un usuario ha estado inactivo por más tiempo del preestablecido. Las sesiones también pueden expirar de forma manual, al cerrar la sesión de forma explícita.

Huellas digitales de la sesión

Las huellas digitales de la sesión permiten detectar si la sesión de un usuario ha sido secuestrada por un atacante malintencionado. Una huella digital identifica de forma única a cada usuario. Por ejemplo, a través de la dirección IP de su equipo o del navegador (agente de usuario) que utilizan. Se trata de un control atenuante destinado a reducir el riesgo de secuestro de sesión por parte de un atacante malintencionado.

Blackboard recomienda encarecidamente habilitar este control. Para hacerlo correctamente, debe seleccionar las siguientes dos opciones: Habilitar huellas digitales de la sesión y Crear una sesión nueva al cambiar la huella digital.

Configurar la huella digital de la sesión

En el Panel del administrador, en Seguridad, seleccione Configuración de huellas dactilares de sesión. En la tabla a continuación, se describen los campos disponibles.

Campo	Descripción
Habilitar huellas digitales de sesión	Seleccione Sí para activar la huella digital de la sesión.
Ubicación del registro	La ubicación en la que se registraran los cambios realizados en las huellas de los usuarios. Obtén más información sobre registros del sistema.
Valor de huella digital	Elija qué valores incluir en la huella digital de la sesión: dirección IP, agente de usuario o ambos. Para minimizar las solicitudes de inicio de sesión múltiples, se recomienda usar solo la dirección IP, ya que los cambios en la dirección IP deben ser menos frecuentes que los cambios en el agente de usuario. Dirección IP: La dirección IP es la dirección del equipo del usuario. Por lo general, no cambiará durante una sesión. Sin embargo, hay casos en los que esto puede ocurrir, por ejemplo, al utilizar ciertos proveedores de servicios de Internet. Agente de usuario: el agente de usuario indica el navegador en particular, el sistema operativo y otros detalles menores de software sobre el navegador que el usuario está utilizando para acceder al sitio. Este valor se genera por el navegador y puede no ser exacto. Por ejemplo, en Safari, la versión del sistema operativo nunca cambia. Los usuarios generalmente pueden anularlo con prórrogas de navegador.
Filtrar direcciones IP	Esta opción se agregó con un conjunto de reglas predeterminado para solucionar problemas con AOL, un proveedor de servicio de Internet de EE. UU. Si bien esta función aún funciona para ese propósito único, no debe usarse en ninguna otra capacidad porque no hay un panel de control para editar el conjunto de reglas.
Crear una nueva sesión cuando cambie la huella digital	Seleccione Sí para forzar la creación de una sesión nueva cuando cambie la huella digital de un usuario. En el caso de los intentos de manipulación, la persona responsable verá la página de inicio de sesión, mientras que el usuario mantiene su sesión activa. No obstante, si se producen falsos positivos (como se menciona anteriormente en la sesión sobre valores de huella digital), el usuario tendrá que volver a iniciar la sesión. Esto implica un equilibrio entre seguridad y conveniencia. Nota Si selecciona la opción Sí para "Crear una nueva sesión cuando cambie la huella digital", aparecerá un mensaje de solicitud de inicio de sesión cuando se cargue el subprograma de múltiples archivos.