Questão de Segurança da Informação — Autenticação — FGV 2024
Segurança da Informação›Autenticação
Código
fg080024
Banca
FGV
Órgão
DNIT
Ano
2024
Nível
Superior
Cargo
Analista Administrativo Tecnologia da Informação
Com relação ao protocolo OAuth e segurança de código, avalie se as afirmativas a seguir são verdadeiras (V) ou falsas (F).( ) A parte de “auth” da “OAuth” se refere a autorização, não a autenticação.( ) Dentre as práticas recomendadas para criar um aplicativo OAuth, podem ser citadas: usar escopos mínimos, criptografar os tokens de acesso do usuário e proteger as credenciais do aplicativo.( ) Dentre os riscos de segurança mais comuns associados às Application Programming Interfaces (APIs, ou Interfaces de Programação de Aplicação) listados no API Security Top 10 da Open Worldwide Application Security Project (OWASP) consta como vulnerabilidade a implementação incorreta de mecanismos de autenticação, que é responsável pela exposição do fluxo de negócios por comprometer o sistema de identificar dos equipamentos de origem do incidente de segurança.As afirmativas são, respectivamente,
AF – V – F.
BF – V – V.
CV – F – F.
DF – F – V.
EV – V – F.
Revelar gabarito e comentário▾
GabaritoE — V – V – F.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
OAuth e Segurança de APIs: Análise de Afirmativas
Gabarito: alternativa E (sequência V – V – F). A primeira afirmativa está correta: "auth" em OAuth significa autorização. A segunda está correta: as práticas citadas são recomendadas. A terceira está falsa: a OWASP API Security Top 10 trata de autenticação quebrada (API2), mas a exposição do fluxo de negócios é uma vulnerabilidade distinta (API6), e a descrição contém imprecisões.
NÃO CAIA NESSA!
A banca tenta confundir associando a vulnerabilidade de autenticação quebrada (API2) com a exposição do fluxo de negócios (API6), que são categorias distintas no OWASP API Security Top 10. Fique atento à descrição exata de cada risco.
1ª afirmativa – ✅ Verdadeira
O protocolo OAuth (Open Authorization) é um padrão para delegação de autorização, não autenticação. Embora frequentemente usado em conjunto com OpenID Connect (que adiciona autenticação), o "auth" de OAuth refere-se exclusivamente a autorização.
2ª afirmativa – ✅ Verdadeira
São práticas recomendadas no desenvolvimento de aplicações OAuth: usar escopos mínimos (princípio do menor privilégio), criptografar tokens de acesso (tanto em trânsito quanto em repouso) e proteger as credenciais do aplicativo (client_id e client_secret). Essas medidas constam nas boas práticas de segurança da OAuth 2.0.
3ª afirmativa – ❌ Falsa
A OWASP API Security Top 10 (2023) lista na posição API2:2023 a vulnerabilidade "Broken Authentication" (Autenticação Quebrada). Essa vulnerabilidade envolve implementação incorreta de mecanismos de autenticação, mas a descrição fornecida associa erroneamente a exposição do fluxo de negócios (que é API6:2023) e menciona "comprometer o sistema de identificar dos equipamentos de origem" de forma confusa. Portanto, a afirmativa é falsa.
Análise das Alternativas (Combinações V/F)
Alternativa A – ❌ Incorreta (sequência F – V – F)
A primeira afirmativa é verdadeira, não falsa. Portanto, esta sequência não corresponde à análise.
Alternativa B – ❌ Incorreta (F – V – V)
A primeira é falsa (deveria ser verdadeira) e a terceira é verdadeira (deveria ser falsa).
Alternativa C – ❌ Incorreta (V – F – F)
A segunda é verdadeira, não falsa.
Alternativa D – ❌ Incorreta (F – F – V)
A primeira e segunda são verdadeiras, não falsas.
Alternativa E – ✅ Correta ⟵ GABARITO (V – V – F)
Corresponde exatamente à análise: primeira V, segunda V, terceira F.