GabaritoE — Errado
Gabarito: ❌ ERRADO. A afirmação é incorreta porque o OpenID Connect exige que os ID Tokens sejam assinados, garantindo integridade e autenticidade. O uso de tokens não assinados não é uma vulnerabilidade do protocolo, mas sim uma falha de implementação.
O OpenID Connect é um protocolo de autenticação construído sobre o OAuth 2.0. Ele especifica que o ID Token deve ser um JWT (JSON Web Token) assinado, conforme as definições do JWS (JSON Web Signature). A assinatura é obrigatória para que o cliente possa verificar a origem e a integridade das informações do usuário. Portanto, a vulnerabilidade mencionada (uso de tokens não assinados) decorre de uma má configuração ou implementação, e não de uma deficiência do padrão.
A banca tenta confundir ao apresentar uma prática insegura como se fosse inerente ao protocolo. O candidato pode pensar que "se é comum ver tokens não assinados, então é vulnerabilidade do OpenID Connect". Mas o protocolo define a assinatura como parte essencial — a falha está na implementação, não no padrão.
❌ ERRADO.
Link permanente: /questoes/ce215328