Blackboardilla on tehokas tietoturvaohjelma, joka paitsi ehkäisee tietoturvaongelmien syntymistä, myös kitkee niitä. Blackboard tekee jatkuvasti sisäistä tietoturvatestausta kooditasolla (staattinen analyysi) ja sovellustasolla (dynaaminen analyysi) täyttääkseen sekä omat että asiakkaidensa vaatimukset. Lisäksi Blackboard hankkii säännöllisesti murtautumistestauksia ulkopuolisilta palveluntarjoajilta. Tällä tavoin saamme myös ulkopuolista näkökulmaa suojauksemme toimivuuteen. Kaikki tunnistetut ongelmat korjataan nopeasti.

On tärkeää tiedostaa, että Blackboardin tietoturva ohjelma kasvaa ja paranee jatkuvasti. Pyrimme jatkuvasti parantamaan kaikkien Blackboard-tuotteiden suojausta ja tietoturvatoimintoja.


Kehitetty alusta alkaen turvallisiksi

Blackboard on sitoutunut tarjoamaan asiakkailleen turvallisia sovelluksia. Blackboard kehittää tuotteensa monien eri organisaatioiden (esimerkiksi Open Web Application Security Project eli OWASP) ohjeisiin perustuvien tietoturvaperiaatteiden mukaisesti (mukaan lukien yksityiskohtaiset menetelmät OWASP:n tunnistamilta kymmeneltä pahimmalta haavoittuvuudelta suojautumiseksi). Blackboard noudattaa näitä tietoturvaperiaatteita kaikissa ohjelmistokehityksen elinkaaren vaiheissa.

Blackboard suojaa sovelluksensa monin eri tavoin. Tällaisia ovat esimerkiksi ylhäältä alas -suojausarvioinnit uhkamallinnuksen avulla sekä analyysit ja alhaalta ylös -tyyliset kooditason uhkatunnistukset staattisten ja dynaamisten analyysien sekä manuaalisten murtautumistestien avulla.

Blackboard tehostaa tuotteidensa ja ohjelmiensa suojausta noudattamalla monien eri organisaatioiden parhaita käytäntöjä. Tällaisia organisaatioita ovat esimerkiksi seuraavat:

  • National Institute of Standards and Technology (NIST)
  • European Network and Information Security Agency (ENISA)
  • SANS Institute
  • Open Web Application Security Project (OWASP)
  • Cloud Security Alliance (CSA).

Uhkamallinnus

Kun kehitämme uusia toimintoja, tietoturvatiimi arvioi vaatimukset ja järjestelmän rakenteen sekä lieventää riskejä suorittamalla uhkamallinnuksen. Uhkamallinnus on jäsennetty prosessi, jossa tunnistamme tiettyyn toimintoon liittyvät tietoturvauhat, jotta voimme suojata toiminnon tarvittavin toimenpitein.


Turvallinen koodaaminen ja OWASP:n mukaiset kymmenen merkittävintä uhkaa

Blackboard-tuotteet on kehitetty OWASP:n kehitysohjeiden pohjalta. Niihin sisältyvät erityisesti vastatoimet OWASP:n mukaisia kymmentä merkittävintä uhkaa vastaan vuodelta 2013.

A1: injektio (SQL-, DOM- ja LDAP-injektio)Koodausstandardimme mukaisesti sidomme muuttujat ja vältämme literaalien lisäämistä SQL-lausekkeisiin. LDAP-toiminnot on rajoitettu todennukseen.
A2: rikkinäinen todennus ja istuntohallintaBlackboard-tuotteita käytetään vain TLS:llä, joten kaikki evästeet ovat salattuja.
A3: sivustojen väliset komentosarjat (XSS)Sivustojen välisiä komentosarjoja ehkäistään jaettujen kirjastojen avulla (esimerkiksi ESAPI) ja kehitysstandardien avulla. Kaikki käyttäjien kirjoittamat tekstit käsitellään siistintätoiminnolla. Muut annetut sisällöt (päivämäärät, valinnat, asetusten arvot) luodaan kirjatuista toimialueobjekteista, ei suoraan käyttäjän antamista sisällöistä tai käyttäjän toimista.
A4: turvattomat suorat objektiviittauksetKaikkiin sovellusobjekteihin viitataan tunnuksella, joka on yleensä yhdistetty ensisijaiseen avaimeen. Kaikki objektit kuitenkin yhdistetään kontekstiin ja kaikki tietoturvatarkistukset suoritetaan kontekstikohtaisesti. Pyyntö saattaa esimerkiksi viitata viestitunnukseen, joka on kurssin keskustelualueen viesti. Blackboardin standardien mukaisesti tarkistamme käyttäjän rooliin liitetyn käyttöoikeuden.
Jos tätä standardia ei voida noudattaa oikein, asian korjaaminen on helppoa, koska kaikki järjestelmän suojatut datakohteet on yhdistetty suojauskontekstiin (joko toimialue tai kurssi).
A5: väärät suojausmäärityksetBlackboard noudattaa oletusarvoisen suojauksen käytäntöä, joka kattaa julkaisutiedot ja dokumentaation, joita voidaan hyödyntää, kun ylläpitäjän erityistoimia tarvitaan. Blackboard kehottaa asiakkaita noudattamaan sen turvallisten määritysten parhaiden käytäntöjen opasta, kun sellainen on saatavilla ja soveltuu Blackboard-tuotteellesi.

Suojausauditointi:
suojaustapahtumat kirjataan omiin suojauslokeihinsa.

Tietovuodot ja virheenkäsittely:
Kaikilla sivuilla on käytössä perusvirheenkäsittely (vakiosivumallin ja tunnistekirjaston avulla). Tämän ansiosta kaikille virheille luodaan vakio-ilmoitus, erityisesti tunnistamattomille virheille. Vakiovirheilmoitus voi sisältää pinon seurantatiedot (pienet tietovuodot), mutta ei mitään niitä tietoja, joita käsiteltiin, kun pyyntö epäonnistui, ja sen näkevät vain ylläpitäjäoikeuksin varustetut käyttäjät. Käyttäjät, joilla ei ole riittäviä oikeuksia (esimerkiksi opiskelijat), eivät näe tarkkoja pinon seurantatietoja.

A6: luottamuksellisten tietojen näyttäminenBlackboardin standardien mukaisesti käyttäjien salasanat ovat SHA-160-salattuja.

Blackboardin tuotteet tukevat TLS-salausta, mutta jos kyseessä on itse isännöity tuote, ylläpitäjän täytyy määrittää TLS oikein.

A7: puuttuvat toimintotason käyttöoikeudetTätä hallitaan kahdella tasolla, jonka johdosta yrityslogiikan täytyy pakottaa valtuutustarkistukset ja jonka johdosta testitapausten täytyy kattaa eri näyttöjen valtuutusvaatimukset.
A8: sivustojen välisten pyyntöjen väärentäminen (CSRF)Suojausmallimme noudattaa OWASP-suosituksia pyyntökohtaisille nonce-arvoille ja POST-only-semantiikalle. AJAX-pyynnöt käyttävät istuntokohtaisia nonce-arvoja.
A9: tunnettuja haavoittuvuuksia sisältävien komponenttien käyttäminenTätä ehkäistään suorittamalla säännöllisiä haavoittuvuustarkistuksia sekä omalle infrastruktuurillemme että ulkoisten palveluntarjoajien ohjelmistopaketeille. Näin tunnistamme komponentit, joissa on tunnettuja haavoittuvuuksia, ja voimme kehittää suunnitelman niiden korjaamiseksi korjaustiedostoilla.
A10: vahvistamattomat uudelleenohjaukset ja edelleenlähetyksetBlackboardin turvallisen koodaamisen standardi edellyttää uudelleenohjausten ja edelleenlähetysten vahvistamista paikallisiksi osoitteiksi. Tätä haavoittuvuutta testataan säännöllisesti.

Aiemmat OWASP:n mukaiset 10 vakavinta haavoittuvuusluokkaa

Haitallisten tiedostojen suorittaminenMuiden kuin etuoikeutettujen käyttäjien lataamia tiedostoja ei koskaan käytetä suoritettavina tiedostoina. Etuoikeutetut käyttäjät (eli järjestelmän ylläpitäjät), voivat kuitenkin ladata rakennuspalikoiksi kutsuttuja suoritettavia tiedostopaketteja, jotka laajentavat järjestelmän toiminnallisuutta. Järjestelmän ylläpitäjien oletetaan ymmärtävän riskit ja noudattavan luotettavia tarkistus- ja muutoshallintakäytäntöjä kolmannen osapuolen rakennuspalikoiden asennuksen yhteydessä.

Mitkä tahansa ilmoitukset Blackboardin tulevista odotuksista, suunnitelmista ja mahdollisuuksista edustavat yrityksen nykyistä kantaa. Todelliset tulokset voivat erota merkittävästi useista tärkeistä tekijöistä johtuen. Yritys odottaa, että tulevat tapahtumat ja tuleva kehitys aiheuttavat muutoksia yrityksen kantaan. Yritys voi kuitenkin päivittää näitä ilmoituksia jossain vaiheessa tulevaisuudessa, mutta yritys nimenomaisesti kiistää velvollisuuden tähän.


Haavoittuvuuksien hallintaan sitoutuminen ja tiedonantokäytäntö

Blackboardin haavoittuvuuksien hallintaohjelmaa säädellään alla esitetyn julkisen haavoittuvuuksien hallintaan sitoutumisen ja tiedonantokäytännön avulla. Mikään ohjelmistotoimittaja ei ole täydellinen. Jos julkaistussa tuotteessa havaitaan tietoturva-aukko, Blackboardin tietoturvatiimi on valmis toimimaan.

Jos tarvitset kirjautumiseen liittyvää apua, ota yhteys oppilaitoksesi IT-tukeen. Blackboardilla ei ole pääsyä oppilaitoksesi tilitietoihin, verkkosivustoihin tai sisältöön. Jos et tiedä, miten voit ottaa yhteyttä tukipalveluun, etsi oppilaitoksesi nimi ja tukipalvelu internetistä tai etsi tukilinkki tai yhteystiedot kirjautumissivulta.

Blackboard on sitoutunut korjaamaan tietoturva-aukot nopeasti ja huolellisesti. Tällaiset korjaukset voivat johtaa tietoturvaohjeiden ja/tai asiakkaiden tarvitsemien tuotepäivitysten julkaisemiseen. Asiakkaidemme ja heidän tietojensa suojaamiseksi pyydämme, että haavoittuvuuksista ilmoitetaan meille vastuullisella ja luottamuksellisella tavalla, jotta voimme tutkia ne ja reagoida niihin. Haavoittuvuuksia ei pitäisi julkistaa ennen kuin olemme kehittäneet tuotepäivityksen, testanneet sen kattavasti ja toimittaneet sen lisensoitujen asiakkaiden käyttöön.

Blackboardin tuotteet ovat monimutkaisia. Ne toimivat erilaisissa laitteisto- ja ohjelmistokokoonpanoissa, ja ne on yhdistetty useisiin kolmansien osapuolten sovelluksiin. Kaikki suuret tai pienet ohjelmistomuutokset edellyttävät perusteellista analyysia sekä useiden tuotelinjojen ja -versioiden kehittämistä ja käyttöönottoa. Ohjelmistolle on tehtävä myös sen laajuuden, monimutkaisuuden ja tärkeyden mukainen lokalisointi-, käytettävyys- ja testausprosessi. Tuotteemme ovat ratkaisevan tärkeitä asiakkaillemme, joten Blackboardin on varmistettava, että ne toimivat testausolosuhteiden ohella oikein myös asiakasympäristöissä. Sen mukaisesti Blackboard ei voi tarjota tuotepäivityksiä tietyn aikajanan mukaan, mutta olemme sitoutuneita toimimaan nopeasti.

Pahantahtoiset osapuolet hyödyntävät usein ohjelmistojen haavoittuvuuksia takaisinmallintamalla julkaistut tietoturvaohjeet ja tuotepäivitykset. On tärkeää, että asiakkaat päivittävät ohjelmiston nopeasti ja käyttävät vakavuusluokitusjärjestelmäämme apuna päivitysten ajoittamisessa paremmin. Tästä syystä julkinen keskustelu haavoittuvuudesta on paikallaan vasta, kun asiakkailla on mahdollisuus saada tuotepäivityksiä.

Testaus tietoturvahaavoittuvuuksien varalta

Sinun on suoritettava kaikki haavoittuvuustestit käyttäen muita kuin tuotteidemme tuotantoinstansseja, jotta vältytään tiedoille ja palveluille aiheutuvilta riskeiltä.


Haavoittuvuudesta ilmoittaminen

Ilmoita mahdollisen haavoittuvuuden tiedot luottamuksellisesti täyttämällä haavoittuvuuden ilmoituslomake.

Anna yksityiskohtaiset tiedot mahdollisesta haavoittuvuudesta, jotta Blackboardin tietoturvatiimi voi vahvistaa ja toisintaa ongelman nopeasti. Ilman edellä mainittuja tietoja mahdollisen haavoittuvuuden korjaaminen voi olla vaikeaa tai mahdotonta. Raportteja, joissa luetellaan useita mahdollisia haavoittuvuuksia ilman yksityiskohtaisia tietoja, ei käsitellä ilman lisäselvityksiä. Yksityiskohtaisten tietojen tulee sisältää seuraavat tiedot:

  • haavoittuvuuden tyyppi;
  • onko tiedot julkaistu tai jaettu muiden osapuolten kanssa;
  • tuotteet ja versiot, joihin haavoittuvuus vaikuttaa;
  • kokoonpanot, joihin haavoittuvuus vaikuttaa; ja
  • vaiheittaiset ohjeet tai demonstraatiokoodi, joka mahdollistaa ongelman toisintamisen.

Blackboardin tietoturvasitoumus

Blackboard pyrkii toimimaan seuraavalla tavalla kaikkien tätä käytäntöä noudattavien haavoittuvuuksista raportoivien tahojen suhteen:

  • vahvistamaan raportin vastaanottamisen;
  • tutkimaan oikea-aikaisesti sekä mahdollisuuksien mukaan vahvistamaan mahdollisen haavoittuvuuden;
  • tarjoamaan suunnitelman ja aikataulun haavoittuvuuden korjaamiseksi; ja
  • ilmoittamaan haavoittuvuudesta raportoineelle taholle, kun haavoittuvuus on korjattu.

Palkkion myöntäminen

Blackboardilla ei ole haavoittuvuuksia koskevaa palkkio-ohjelmaa. Tämän seurauksena Blackboard ei anna mitään tunnustusta tai korvausta tietoturva-aukkojen raportoinnista.