API de sécurité pour les développeurs de Building Blocks

Lorsque vous recevez des informations provenant de la demande, validez toujours et validez toujours côté serveur. Blackboard a implémenté plusieurs cas d'utilisation courants nécessitant une validation. Quelques exemples sont fournis ci-dessous.

Lorsque vous affichez une entrée, assurez-vous toujours qu'elle est affichée dans le contexte correct dans lequel elle sera intégrée :

Pour chiffrer les données lors de la transmission de contexte, Blackboard et l'URL externe doivent avoir accès à la même clé de chiffrement du contexte. La clé doit être créée à partir de la fonctionnalité Gérer la clé de chiffrement contextuelle disponible dans le panneau de configuration de l'administrateur. Une fois la clé créée, elle doit être téléchargée et distribuée à des serveurs externes qui accepteront le contexte.

Après avoir téléchargé une clé de chiffrement du contexte, celle-ci doit être mise à la disposition de l'URL qui recevra les données chiffrées par transmission de contexte. L'exemple de code ci-dessous montre comment déchiffrer par programmation les données contextuelles chiffrées sur l'URL externe lorsqu'elle est transmise.

L'objet indiqué par l'URL cible (dans ce cas, index.jsp) pourrait déchiffrer le contexte comme suit (importation de blackboard.client.decryption). *) :

String context = Request.getParameter (« context ») ; //si IsEncryptionEnabled = false, le codage en base 64 sera utilisé à la place //of encryptionboolean IsEncryptionEnabled = true ; ContextDecryptor bfd = ContextDecryptorFactory.getContextDecryptor (IsEncryptionEnabled) ;//récupère la clé de cryptage Blackboard sous forme de fichier ou InputStream File key = new File (StrKeyLocation) ;//ou InputStream key =//détail de l'implémentation...//pour simplement déchiffrer la chaîne de contexte String DecryptedContext = bfd.decrypt (context, key) ;//ou, pour obtenir un HashMap de toutes les paires clé-valeur. ShashMap mapper = bfd.parseEncryptedContext (context, key) ;//recherchez ensuite dans HashMap une valeur attendue, et continue.if (mapper.containsKey (« user ») {//execute...}

L'exemple de code ci-dessus est utile lorsqu'il existe une relation biunivoque entre l'URL externe et Blackboard. Dans les cas où une URL externe prend en charge un Building Block pour plusieurs instances de Blackboard, le nom d'hôte de l'instance peut être utilisé pour gérer plusieurs clés.

Dans l'exemple ci-dessous, la clé est trouvée en l'associant au nom d'hôte de l'instance ou de l'installation virtuelle de Blackboard. Dans ce cas, le nom d'hôte est physics.votreétablissement.com. Comme le code de déchiffrement du client peut transmettre une clé de déchiffrement à l'objet ContextDecryptor, le serveur client doit être en mesure de mapper un nom d'hôte à la clé appropriée (généralement accessible sous forme de fichier, mais il peut s'agir d'un flux).

Les développeurs de serveurs Building Block peuvent écrire un wrapper simple qui :

Enveloppe de pseudocode implémentée par un objet utilitaire client-serveur :

/**

* Pseudocode utilitaire

*/

DecryptByHostName (requête HttpServletRequest)

{

//Récupère le paramètre de contexte de la requête

Contexte de chaîne = Request.getParameter (« contexte ») ;

//détermine si le contexte est chiffré

String StrEncryptInd = Request.getParameter (« chiffrer ») ;

if ((StrEncryptInd ! = null) && (StrEncryptInd.EqualsIgnoreCase (« y »)))

{

IsEncrypted = vrai ;

}

//si IsEncrypted, recherchez la clé

clé = nulle ;

si (est crypté)

{

//Récupère le nom d'hôte depuis HttpUtils.getRequestURL () .getHost () ;

//obtient la carte des clés, éventuellement stockée sous forme de fichier de propriétés au format

// physics.yourinstitution.com= /key/file/location/physics_yourinstitution_com/key.sec

//obtient la clé de cryptage du mapper sous forme de fichier ou de flux d'entrée,

//en fonction des détails de l'implémentation du client (la clé est passée comme nulle si

//IsEncrypted= false, et Base64Encoding est utilisé à la place)

}

Décrypteur ContextDecryptor =

ContextDecryptorFactory.getContextDecryptor (IsEncrypted) ;

//puis renvoie les valeurs transmises dans le contexte sous la forme

//un HashMapper de paires clé-valeur

valeurs Mapper = Decryptor.ParseEncryptedContext (contexte, clé) ;

//ou une chaîne

Valeurs de chaîne = decryptor.decrypt (contexte, clé) ;

valeurs de retour ;

}