No que se refere a OWASP Top 10, julgue o item a seguir.
Cryptographic failures tem como diretiva de prevenção bloquear o acesso a recursos internos de um ambiente, exceto aos recursos que realmente necessitem ser públicos, como websites disponíveis para a Internet.
GabaritoE — Errado
❌ ERRADO. A afirmativa está incorreta porque a diretiva de prevenção descrita — "bloquear o acesso a recursos internos de um ambiente, exceto aos recursos que realmente necessitem ser públicos" — corresponde à categoria A01:2021 – Quebra de Controle de Acesso (Broken Access Control), e não às Falhas Criptográficas (Cryptographic Failures), que tratam da proteção de dados por meio de criptografia adequada em trânsito e em repouso.
O OWASP Top 10 é uma publicação da fundação OWASP (Open Worldwide Application Security Project) que lista, de forma atualizada, as dez vulnerabilidades mais críticas e comuns em aplicações web. Cada categoria possui características e diretrizes de prevenção próprias. A confusão entre elas é um erro clássico em provas, e é exatamente isso que esta questão explora.
A categoria A02:2021 – Falhas Criptográficas concentra-se na proteção de dados sensíveis. A prevenção envolve, essencialmente, determinar as necessidades de proteção dos dados em trânsito e armazenados, garantir que dados sensíveis sejam criptografados com algoritmos fortes e atuais, evitar o uso de protocolos antigos ou fracos (como MD5 e SHA-1), e adotar boas práticas de gerenciamento de chaves. O foco está na criptografia em si, não no controle de acesso a recursos.
Já a diretiva de "bloquear o acesso por padrão, exceto para recursos públicos" é a essência do controle de acesso. A categoria A01:2021 – Quebra de Controle de Acesso (Broken Access Control) impõe a política de modo que os usuários não possam agir fora de suas permissões pretendidas. Uma das principais formas de prevenção é justamente "negar por padrão", permitindo acesso apenas aos recursos que realmente precisam ser públicos, como websites disponíveis na Internet. Essa é a lógica do princípio do menor privilégio e da abordagem Zero Trust.
Para fixar a distinção, veja a comparação:
Critério | A01:2021 – Quebra de Controle de Acesso | A02:2021 – Falhas Criptográficas |
|---|---|---|
Foco | Autorização: quem pode acessar o quê | Proteção de dados: cifragem em trânsito e em repouso |
Prevenção central | Negar por padrão; exceto recursos públicos | Criptografia forte, algoritmos atuais, gestão de chaves |
Exemplo de falha | Acessar página de outro usuário alterando a URL | Dados sensíveis transmitidos sem criptografia |
A banca trocou a diretriz de prevenção de uma categoria pela de outra. O candidato que conhece apenas o nome das categorias, sem saber o que cada uma previne, cai facilmente nessa armadilha.
A banca inverteu as diretrizes de prevenção entre duas categorias do OWASP Top 10. A frase "bloquear o acesso a recursos internos, exceto os que necessitem ser públicos" é a prevenção clássica do Broken Access Control (A01), não das Cryptographic Failures (A02). Ao ler "Cryptographic failures", o candidato pode associar qualquer medida de segurança a ela, mas a criptografia trata de dados, não de controle de acesso a recursos.
A afirmativa está errada porque descreve a prevenção de uma categoria diferente do OWASP Top 10. A diretiva de "bloquear o acesso a recursos internos, exceto os que necessitem ser públicos" é característica do A01:2021 – Quebra de Controle de Acesso (Broken Access Control), cuja prevenção inclui "negar por padrão, exceto para recursos públicos". As Falhas Criptográficas (A02:2021) têm como foco a proteção de dados por meio de criptografia adequada, algoritmos fortes e gestão de chaves, e não o bloqueio de acesso a recursos.
Gabarito: letra E (Errado).
Link permanente: /questoes/ce397919