Questão de Segurança da Informação — Ataques e ameaças — CESPE / CEBRASPE 2022
Segurança da Informação›Ataques e ameaças
Código
ce134499
Banca
CESPE / CEBRASPE
Órgão
DPE-RO
Ano
2022
Nível
Superior
Cargo
Analista da Defensoria Pública - Programação
Em um ataque contra o OAuth 2, um usuário malicioso tentou interceptar as solicitações e os tokens de atualização, por meio da disponibilização de um servidor de autorização falso.Para mitigar um ataque dessa natureza, é correto
Aadotar as melhores práticas de proteção para o armazenamento de credenciais do servidor de autorização.
Bproteger os servidores que mantêm as configurações sensíveis e as bases de dados de autorizações.
Caplicar criptografia para as credenciais e tokens armazenados pela máquina cliente.
Dimplementar criptografia sobre o tráfego das requisições enviadas ao servidor de autorização.
Eutilizar um servidor de autenticação para certificar a identidade do servidor de autorização.
Revelar gabarito e comentário▾
GabaritoE — utilizar um servidor de autenticação para certificar a identidade do servidor de autorização.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Mitigação de ataque com servidor de autorização falso no OAuth 2
Gabarito: alternativa E. Para mitigar um ataque em que o invasor disponibiliza um servidor de autorização falso (interceptando solicitações e tokens), a medida mais eficaz é utilizar um servidor de autenticação para certificar a identidade do servidor de autorização. Isso permite que o cliente verifique se está se comunicando com o servidor legítimo, evitando a interceptação por um servidor fraudulento. As demais alternativas tratam de proteção de credenciais, servidores, criptografia de armazenamento ou tráfego, mas não endereçam diretamente a validação da identidade do servidor, que é o cerne do ataque descrito.
Alternativa A — ❌ Incorreta
Adotar melhores práticas de proteção para o armazenamento de credenciais do servidor de autorização protege as credenciais armazenadas, mas não impede que um servidor falso se passe pelo legítimo. O ataque ocorre antes mesmo de o servidor real ser contatado.
Alternativa B — ❌ Incorreta
Proteger os servidores que mantêm configurações sensíveis e bases de dados de autorizações é importante, mas é uma medida defensiva interna, não mitiga a ação de um servidor falso externo que engana o cliente.
Alternativa C — ❌ Incorreta
Aplicar criptografia para credenciais e tokens armazenados pela máquina cliente protege dados em repouso, mas não evita que o cliente envie suas credenciais para um servidor falso durante a comunicação.
Alternativa D — ❌ Incorreta
Implementar criptografia sobre o tráfego das requisições (ex.: TLS) protege os dados em trânsito, mas se o cliente se conectar ao servidor falso, a criptografia será estabelecida com o atacante, não com o servidor real. Portanto, não mitiga o ataque de servidor falso.
Alternativa E — ✅ Correta ⟵ GABARITO
Utilizar um servidor de autenticação para certificar a identidade do servidor de autorização (por exemplo, por meio de certificados digitais ou mecanismos como OpenID Connect Discovery) permite que o cliente confirme que está se comunicando com o servidor legítimo, impedindo a ação do servidor falso. Essa é a medida diretamente relacionada à mitigação do ataque descrito.
NÃO CAIA NESSA!
A banca explora a confusão entre proteger dados (armazenamento, tráfego) e verificar a identidade do servidor. O ataque não é sobre vazar dados, mas sobre enganar o cliente com um servidor falso. A criptografia de tráfego (TLS) não resolve porque o cliente estabelece a conexão com o atacante. A chave está em autenticar o servidor antes de confiar nele.