Questão de Segurança da Informação — Autenticação — CESPE / CEBRASPE 2024
Segurança da Informação›Autenticação
Código
ce187608
Banca
CESPE / CEBRASPE
Órgão
TC-DF
Ano
2024
Nível
Superior
Cargo
Auditor de Controle Externo - Área Especializada - Especialidade: Tecnologia da Informação - Orientação Microinformática de TI
A respeito de métodos de autenticação, julgue o próximo item.Usar SMS para envio de tokens de acesso e de autenticação é uma técnica que garante sigilo contra interceptação do token por terceiros, já que o SMS trafega cifrado fim a fim, logo, mesmo que o token consiga ser interceptado, ele será inútil para um atacante, por estar criptografado.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Autenticação por SMS — segurança do token
Gabarito: Errado (alternativa E). A afirmativa está incorreta porque o SMS, como canal de envio de tokens de autenticação, não garante sigilo contra interceptação. As mensagens SMS trafegam em texto claro na rede da operadora (não há criptografia fim a fim padrão) e podem ser interceptadas por vulnerabilidades como ataque a SS7, phishing ou troca de SIM. Mesmo que houvesse criptografia, o token seria legível no destino — o atacante que intercepta o SMS lê o token em claro.
A banca explora o mito de que SMS é criptografado fim a fim. Na prática, órgãos de segurança (como NIST) desaconselham SMS como segundo fator justamente pela facilidade de interceptação. O token enviado por SMS não é inútil para o atacante; ao contrário, ele obtém o código exato.
Autenticação por SMS: Não garante sigilo (Texto claro na rede da operadora, Vulnerável a SS7, troca de SIM, phishing); Token interceptado é legível; Desaconselhado (NIST); Alternativas seguras (TOTP (app autenticador), FIDO2 (chave de hardware))
PEGA ESSA DICA!
Em segurança da informação, métodos de autenticação baseados em SMS são considerados frágeis. Prefira sempre aplicativos autenticadores (TOTP) ou chaves de hardware (FIDO2) para fator adicional. Desconfie de afirmações que atribuem criptografia fim a fim a SMS — o protocolo SMS original não foi projetado com essa propriedade.