系统和通信保护

Blackboard 中的每个会话都受加密安全会话标识符的保护，该标识符存储在浏览器 cookie 中。为了帮助防止会话固定攻击，会话标识符会在页面加载、成功登录后和注销后进行轮换。

默认情况下，我们设置了两个简单的 Cookie 标志，作为防止会话管理相关 Cookie 上的会话劫持的附加措施：HttpOnly 和 Secure。

BbRouter 是唯一用于会话管理的 cookie。它设置了 HttpOnly 标志，该标志提供了额外的保护层，防止潜在恶意客户端脚本未经授权的访问。Blackboard 长期以来一直要求在系统范围内启用 TLS。为了谨慎起见，设置了安全标志以防止浏览器通过没有 TLS 的 HTTP 发送 cookie（“SSL”）。

JSESSIONID Cookie 与会话管理无关，也没有设置 HttpOnly 或 Secure 标志。

在 SaaS 中，存在两个没有 Secure 和 HttpOnly 标志的额外 cookie：AWSELB 和 AWSELBCORS。Blackboard 在很大程度上是无状态的，但是，存在少量会话关联性，该关联性使用这些 cookie 在负载均衡器上实现。您可以从 AWS 文章为您的经典负载均衡器配置粘性会话 中了解有关这些 Cookie 的更多信息。

在用户空闲时间超过预先配置的持续时间之后，会话将自动到期。也可以通过显式注销手动使会话到期。

在“管理员面板”的“安全下，选择会话指纹设置。下表介绍了可用的字段。