No que se refere a OWASP Top 10, julgue o item a seguir.
Insecure design recomenda o uso de LIMIT e outros controles SQL para prevenir a divulgação em massa de registros em caso de injeção de SQL.
GabaritoE — Errado
❌ ERRADO. A afirmação está incorreta porque a recomendação de usar LIMIT e outros controles SQL para prevenir a divulgação em massa de registros em caso de injeção de SQL pertence à categoria A03:2021 – Injeção (Injection), e não à A04:2021 – Design Inseguro (Insecure Design). O OWASP Top 10 associa essa medida especificamente à prevenção de injeção, enquanto o Insecure Design trata de falhas estruturais no planejamento e arquitetura da aplicação, que não podem ser corrigidas por uma implementação perfeita.
O OWASP Top 10 é uma publicação da OWASP (Open Web Application Security Project) que lista as vulnerabilidades mais críticas em aplicações web. Na versão 2021, a categoria A03 – Injeção abrange ataques como SQL, NoSQL, OS Command, entre outros. Uma das medidas preventivas recomendadas para injeção é exatamente o uso de LIMIT e outros controles SQL para limitar a quantidade de registros retornados, reduzindo o impacto de uma possível divulgação em massa de dados. Já a categoria A04 – Design Inseguro foca em problemas de arquitetura e design, como a falta de modelagem de ameaças ou de perfis de risco de negócio, e não em controles específicos de consultas SQL.
Para entender a diferença: enquanto a injeção é uma falha de implementação (não validar entradas, concatenar consultas), o design inseguro é uma falha anterior, no planejamento. Um design inseguro não pode ser corrigido por uma implementação perfeita, pois os controles de segurança necessários nunca foram criados. A recomendação de LIMIT é uma medida de mitigação para o risco de injeção, não para o design inseguro.
A banca explora exatamente essa confusão: o candidato que conhece a recomendação de LIMIT pode associá-la erroneamente ao Insecure Design, quando na verdade ela pertence à categoria de Injeção. É uma pegadinha clássica de troca de categoria.
A afirmação está errada porque atribui ao Insecure Design uma recomendação que é específica da categoria Injeção (A03). O uso de LIMIT e outros controles SQL é uma medida preventiva contra injeção de SQL, visando limitar a quantidade de dados retornados em caso de ataque. O Insecure Design, por sua vez, trata de falhas estruturais no design da aplicação, como falta de modelagem de ameaças, e não de controles de consulta.
Gabarito: ERRADO
Link permanente: /questoes/ce397918