Questão de Segurança da Informação — Conceitos Gerais de Autenticação e Controle de Acesso — CESPE / CEBRASPE 2023
Segurança da Informação›Conceitos Gerais de Autenticação e Controle de Acesso
Código
ce397842
Banca
CESPE / CEBRASPE
Órgão
DATAPREV
Ano
2023
Cargo
Ana Proc ( )
Acerca de vulnerabilidades e ataques a sistemas computacionais, julgue o item a seguir. Para reduzir vulnerabilidades, os controles de acesso devem liberar a propriedade do registro para que usuário possa criar, ler, atualizar ou excluir qualquer registro.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Controle de acesso e princípio do menor privilégio
❌ ERRADO. A afirmação está incorreta porque, para reduzir vulnerabilidades, os controles de acesso devem restringir as permissões dos usuários, aplicando o princípio do menor privilégio — e não liberar a propriedade do registro para que qualquer usuário possa criar, ler, atualizar ou excluir qualquer registro. Essa prática, na verdade, aumenta as vulnerabilidades, pois permite que um usuário aja fora de suas permissões pretendidas, caracterizando a "quebra de controle de acesso" (Broken Access Control), um dos riscos mais críticos apontados pelo OWASP Top 10.
O controle de acesso é um dos pilares da segurança da informação. Ele gerencia a interação entre sujeitos ativos (usuários, processos) e objetos passivos (arquivos, sistemas), baseado no modelo AAA: autenticação, autorização e auditoria (accounting). A autenticação verifica a identidade do usuário; a autorização define os privilégios que ele terá sobre os recursos; e a auditoria registra as atividades para rastreamento e conformidade. O objetivo central é garantir que cada usuário tenha acesso apenas aos recursos necessários para desempenhar suas funções — nada além disso.
O princípio do menor privilégio (least privilege) é a diretriz fundamental nesse contexto: cada usuário, programa ou processo deve operar com o mínimo de privilégios necessário para realizar sua tarefa. Isso reduz a superfície de ataque e limita o dano potencial caso uma conta seja comprometida. Se um usuário comum puder criar, ler, atualizar ou excluir qualquer registro, uma única conta comprometida pode levar à divulgação, modificação ou destruição de informações não autorizadas — exatamente o que os controles de acesso devem prevenir.
A recomendação correta, alinhada ao OWASP Top 10 (A01:2021 – Quebra de Controle de Acesso), é que os controles de acesso ao modelo devem impor a propriedade do registro — ou seja, o usuário só pode manipular registros dos quais é proprietário ou para os quais possui autorização explícita — em vez de aceitar que o usuário possa criar, ler, atualizar ou excluir qualquer registro. Essa é uma das principais formas de prevenção contra falhas de controle de acesso.
A banca explora aqui uma inversão clássica: apresenta como medida de segurança algo que é, na verdade, uma vulnerabilidade grave. O candidato que não conhece o princípio do menor privilégio pode ser induzido a concordar com a afirmação, pensando que "liberar" o acesso é uma forma de empoderar o usuário. Mas a segurança da informação caminha na direção oposta: restringir acessos, concedendo apenas o necessário.
NÃO CAIA NESSA!
A banca inverte o sentido da recomendação de segurança. Em vez de "impor a propriedade do registro" (restringir o acesso ao dono do registro), ela afirma que se deve "liberar a propriedade do registro" para que qualquer usuário possa manipular qualquer registro. É a troca exata entre restringir e liberar — o oposto do que recomenda o OWASP Top 10. Fique atento: em questões de segurança da informação, a resposta quase sempre envolve limitar privilégios, nunca ampliá-los indiscriminadamente.
Controle de acesso: Modelo AAA (Autenticação (quem é), Autorização (o que pode), Auditoria (o que fez)); Princípio do menor privilégio (Mínimo necessário, Restringe superfície de ataque, Liberar acesso irrestrito (vulnerabilidade)); Propriedade do registro (Só o dono manipula, Autorização explícita, Qualquer usuário (Broken Access Control))
Alternativa E — ❌ Incorreta ⟵ GABARITO
A afirmação está errada porque contraria o princípio do menor privilégio e as boas práticas de controle de acesso. Liberar a propriedade do registro para que qualquer usuário possa criar, ler, atualizar ou excluir qualquer registro é justamente o que aumenta as vulnerabilidades, permitindo que um usuário aja fora de suas permissões pretendidas. A recomendação correta, conforme o OWASP Top 10 (A01:2021), é que os controles de acesso ao modelo devem impor a propriedade do registro — ou seja, restringir o acesso ao proprietário ou a quem tem autorização explícita — em vez de permitir acesso irrestrito a todos os registros. Essa é a essência do controle de acesso eficaz: negar por padrão e conceder apenas o necessário.