O que é? Política de Segurança de Conteúdo (CSP) é um mecanismo para adicionar segurança adicional aos sites para eliminar vários tipos de ataque. Ele funciona adicionando um cabeçalho ao tráfego da Web do servidor de origem que indica como o servidor deve operar. Isso significa que todas as páginas carregadas do site são protegidas por essas configurações. Há uma ampla gama de opções de CSP, dependendo das necessidades de um site específico. A D2L adotou alguns tipos de opções de CSP descritas abaixo para resolver possíveis problemas específicos. Outras opções podem ser adotadas à medida que surgirem necessidades futuras. O CSP pode relatar possíveis violações mesmo quando não está aplicando as políticas, bem como relatar violações quando a política é imposta. O que significa que a D2L tem visibilidade de quando e quantas tentativas são feitas que violam nossas configurações escolhidas. Bloqueio de Iframe O Política CSP de ancestrais de quadro é usado para bloquear a capacidade de alguns sites de IFrame o site de origem, neste caso, o Brightspace. Isso é usado para evitar ataques de clickjacking, bem como fornecer uma melhor experiência ao usuário. A D2L utiliza essa política de CSP na página de login atualmente com planos de adicioná-la posteriormente em todo o site. Observe que a política de todo o site não deve ser usada no momento, pois causa interrupções conhecidas com ferramentas como Lições. O bloqueio de IFrame em todo o site será totalmente liberado posteriormente. Bloqueio de execução SVG O Política de CSP de área restrita é usado para bloquear a execução de JavaScript em um arquivo SVG. Isso é usado para evitar ataques de phishing ou engenharia social para obter informações do usuário. A D2L utiliza a política Sandbox sem permitir que scripts impeçam a execução de JavaScript em arquivos SVG. Essa política de CSP só é adicionada ao cabeçalho das páginas SVG quando renderizada. Os arquivos SVG ainda serão carregados, mas não poderão executar o código. Quem é afetado? Todos os clientes novos e existentes terão essas proteções habilitadas na versão de agosto. Os clientes que usam o Login Page Management (LPM) podem gerenciar suas configurações no Config Variable Browser. Os clientes que usam páginas ASP personalizadas ou páginas de login hospedadas personalizadas não poderão desabilitar ou modificar suas próprias configurações. Os clientes que usam essas páginas personalizadas usam configurações do lado do servidor que se aplicam a todos os clientes que usam essas páginas personalizadas, portanto, modificações individuais não são possíveis. Se um cliente precisar de configurações personalizadas, ele precisará interromper o uso de sua página de login personalizada. Existem algumas isenções genéricas que foram aplicadas a todos os clientes, independentemente do tipo de página de login.Para clientes que usam o Gerenciamento de Página de Logon, há alguns clientes conhecidos com IFraming ocorrendo que precisam de mais investigação/possíveis alterações no cliente. Essas instâncias serão isentas da mudança em agosto. A D2L entrará em contato com os clientes afetados para discutir mais. Os clientes LPM podem adicionar isenções de URL para si mesmos, conforme necessário (consulte a seção abaixo sobre configuração do cliente). Muitas das tentativas de IFraming que ocorrem são clientes alternando entre suas URLs primárias e não primárias. O uso da URL não primária pode causar muitas quebras de ferramentas e deve ser evitado. Por que estamos fazendo isso? Bloqueio de IFrame O Iframing Brightspace afeta a experiência do usuário e a acessibilidade do Brightspace, além de permitir possíveis ataques, diminuindo a segurança do site. A principal preocupação de segurança que isso diminui é a capacidade de Roubo de cliques ataques ocorram. Do ponto de vista do usuário, o Brightspace foi criado para ser um aplicativo de nível superior e muitos componentes não funcionam ou não funcionam bem se forem implantados. O Brightspace foi criado para responder ao tamanho do dispositivo, mas ao IFraming dentro de uma janela menor, o Brightspace não pode se redimensionar corretamente. O Brightspace abre muitas caixas de diálogo para solicitar aos usuários durante os fluxos de trabalho que bloqueiam o restante do aplicativo para que o usuário possa se concentrar. Quando o Brightspace é IFramed, as caixas de diálogo bloqueiam apenas o iframe, o que poderia confundir o usuário. Para acessibilidade, os leitores de tela e os usuários somente de teclado têm uma experiência terrível ao interagir com o Brightspace em um iframe. O Brightspace executará determinadas ações no quadro de nível superior ao sair de nossos próprios quadros, quando o Brightspace estiver dentro de um iframe, isso resultará na quebra do iframe do Brightspace e na tomada da página externa. O Brightspace tem sua própria navegação superior e lateral, portanto, também será uma experiência muito desconexa para o usuário que tenta descobrir quais elementos de navegação usar. Em resumo, a experiência para os usuários quando o Brightspace é IFramed é muito ruim e desconexa, removendo os benefícios de usabilidade e acessibilidade que o Brightspace se orgulha de fornecer. Bloqueio de execução SVG Permitir que o JavaScript seja executado em um SVG permite certos ataques de engenharia social. SVGs de fontes não confiáveis não devem ser executados para evitar ataques. SVGs podem ser usados como imagens sem a necessidade de JavaScript para serem executados. Que controle os clientes têm? Os clientes têm algum controle sobre as configurações do CSP por meio do Navegador de Variáveis de Configuração. Bloqueio de IFrame Observe que os clientes da página de login personalizada não podem gerenciar suas configurações por meio do CVB. Se eles alterarem as configurações, isso não será refletido nos cabeçalhos da página de login. Isso afeta apenas o bloqueio do IFrame para a página de login.A variável de configuração d2l. Security.ContentSecurityPolicy.AddtnlAncestors controla quais URLs são exceções permitidas ao IFrame Brightspace. Essa será a configuração mais provável que os clientes podem modificar para adicionar exceções ao site. Vários URLs são listados por padrão para permitir que as ferramentas padrão funcionem. Recomendamos que outros URLs sejam adicionados para adicionar à lista existente. Se a lista existente for removida, algumas funcionalidades poderão ser interrompidas. A URL do site atual não precisa ser incluída nesta lista. Observe que não recomendamos adicionar sites não confiáveis a esta lista e não recomendamos adicionar exceções para coisas como localhost.Os URLs devem ser separados por um espaço. O formato dos URLs deve ser um dos exemplos abaixo (observe que o terceiro formato listado é a notação mais comum a ser usada): http://*.example.com: Corresponde a todas as tentativas de carregamento de qualquer subdomínio de Exemplo de domínio usando o esquema de URL http:.mail.example.com:443: Corresponde a todas as tentativas de acessar a porta 443 em mail.example.com.https://store.example.com: Corresponde a todas as tentativas de acesso store.example.com usando https:. A variável de configuração d2l. Security.ContentSecurityPolicy.HeaderEnabled determina se o cabeçalho do CSP está incluído para relatórios ou imposição. Normalmente, não recomendamos desabilitar essa variável. On = O cabeçalho CSP é incluído em algumas solicitações com base em como outras configurações são configuradasDesativado = o cabeçalho do CSP não está incluído para nenhuma solicitação A variável de configuração d2l. Security.ContentSecurityPolicy.ReportingOnly Determina se o bloqueio de iframe é imposto ou não. Se a variável estiver ON, a imposição da política CSP não ocorrerá. Recomendamos deixar isso DESATIVADO para que a política seja imposta e adicionar sites confiáveis à variável addntlancestors, se possível. Existem certos clientes em que é necessária uma investigação/conversa mais aprofundada que terão essa variável LIGADA. Se essa variável estiver ativada para seu site após a versão 20.22.08, converse com seu contato da D2L antes de ativá-la para evitar grandes interrupções na funcionalidade do site.Ativado = o cabeçalho do CSP relata apenas violaçõesDesativado = o cabeçalho CSP é imposto Bloqueio de execução SVG A configuração d2l. Security.ContentSecurityPolicy.SvgAllowScripts controla se a execução de JavaScript SVG é permitida. Recomenda-se não permitir a execução de JavaScript, a menos que seja proveniente de uma fonte confiável, portanto, a maioria dos clientes deve deixar essa configuração desativada. On = permitir a execução de JavaScript Desligado = bloquear a execução do JavaScript Como obter relatórios de clientes? Os relatórios do CSP não estão disponíveis para clientes diretamente no Log do Sistema. A D2L pode fornecer esses logs conforme necessário. Seu representante da D2L pode obter logs recentes para você, se necessário.