Questão de Segurança da Informação — Autenticação — CESPE / CEBRASPE 2023

OWASP Top 10 – Insecure Design

Gabarito: Errado (E). A afirmação está incorreta porque a recomendação de usar LIMIT e outros controles SQL para prevenir divulgação em massa de registros em caso de SQL Injection não é uma medida específica do Insecure Design (A04:2021). No OWASP Top 10, a categoria Insecure Design trata de falhas de arquitetura e design que não podem ser corrigidas por uma implementação perfeita, e suas medidas preventivas são de alto nível, como modelagem de ameaças, uso de bibliotecas seguras e limitação de consumo de recursos por usuário/serviço. Já o uso de LIMIT em consultas SQL é uma técnica associada a outras categorias, como Broken Access Control (A01) ou Injection (A03), e não consta como recomendação específica para Insecure Design.

Contexto

O OWASP Top 10 de 2021 define Insecure Design como a quarta categoria (A04), focada em riscos relacionados a designs inseguros que exigem controles desde a concepção. As prevenções listadas no material de referência incluem:

OWASP Top 10 – Prevenções para Insecure Design:

• Estabeleça e use um ciclo de vida de desenvolvimento seguro com profissionais de AppSec.

• Estabeleça e use bibliotecas de padrões de projeto seguros.

• Use Modelagem de Ameaças para fluxos críticos.

• Integre verificações de plausibilidade em cada camada.

• Limite o consumo de recursos por usuário ou serviço.

• Separe as camadas de nível no sistema e na rede.

• Separe os tenants de maneira robusta.

Note que “limitar o consumo de recursos” é uma diretriz genérica, não se restringe a comandos SQL como LIMIT. O item específico do enunciado confunde essa recomendação com um controle técnico de SQL, o que não corresponde à natureza da categoria Insecure Design.

✅ Portanto, o item está ERRADO.