Questão de Segurança da Informação — OWASP — FGV 2023

Quebra de Controle de Acesso (Broken Access Control) no OWASP Top 10

Gabarito: letra D. A recomendação do OWASP para prevenir a quebra de controle de acesso é implementar mecanismos de controle de acesso uma única vez e reutilizá-los em toda a aplicação, evitando duplicação e inconsistências que geram brechas de segurança. Essa diretriz está expressa na categoria A01:2021 do OWASP Top 10, que trata especificamente dessa vulnerabilidade.

A quebra de controle de acesso (Broken Access Control) é a primeira e uma das mais críticas vulnerabilidades listadas no OWASP Top 10 de 2021. Ela ocorre quando a aplicação não impõe corretamente as políticas de autorização, permitindo que usuários acessem recursos ou executem ações para as quais não possuem permissão. Isso pode levar à divulgação, modificação ou destruição não autorizada de dados, além da execução de funções comerciais fora dos limites do usuário.

O OWASP (Open Web Application Security Project) é uma fundação sem fins lucrativos que produz documentos de conscientização sobre segurança de software. O Top 10 é um desses documentos, listando os riscos mais críticos em aplicações web e fornecendo diretrizes de prevenção. É importante destacar que o OWASP Top 10 não é uma norma, certificação ou checklist completo, mas sim um ponto de partida (padrão mínimo) para programas de segurança de aplicações.

Para a categoria A01:2021, o OWASP elenca várias medidas de prevenção, entre elas:

• Negar por padrão, exceto para recursos públicos.

• Implementar mecanismos de controle de acesso uma vez e reutilizá-los em toda a aplicação, minimizando o uso de CORS.

• Impor a propriedade do registro nos controles de acesso, em vez de permitir que o usuário acesse qualquer registro.

• Desativar a listagem de diretórios do servidor web e garantir que metadados de arquivos (como .git) e backups não estejam presentes nas raízes web.

• Limitar a taxa de acesso da API e do controlador para minimizar danos de ataques automatizados.

A alternativa D espelha exatamente a segunda recomendação: implementar o controle de acesso uma vez e reutilizá-lo em toda a aplicação. Essa abordagem centralizada garante consistência nas verificações de autorização, evitando que diferentes partes do sistema tenham implementações divergentes ou incompletas, o que criaria brechas exploráveis.

As demais alternativas apresentam práticas que contrariam as recomendações do OWASP ou não se relacionam diretamente com a prevenção da quebra de controle de acesso. Vamos analisar cada uma em detalhes.

Alternativa A — ❌ Incorreta

Permitir, por padrão, o acesso a todos os recursos da aplicação, ocultando apenas os recursos de configuração, é exatamente o oposto do que o OWASP recomenda. A diretriz é negar por padrão (deny by default), concedendo acesso apenas a recursos explicitamente públicos. Liberar tudo por padrão, mesmo ocultando configurações, viola o princípio do privilégio mínimo e aumenta drasticamente a superfície de ataque, pois qualquer recurso não listado pode ser descoberto e acessado indevidamente.

Alternativa B — ❌ Incorreta

Certificar-se de que a aplicação mantenha válidos os tokens JWT no servidor após o logout do usuário é uma prática que vai contra a segurança. Após o logout, os tokens devem ser invalidados no servidor, não mantidos válidos. Manter tokens válidos permitiria que um atacante que tenha obtido o token continuasse acessando recursos mesmo após o usuário encerrar a sessão. A recomendação correta é revogar/invalidar o token no logout, garantindo que ele não possa mais ser utilizado.

Alternativa C — ❌ Incorreta

Habilitar a listagem de diretórios e arquivos do servidor web para que terceiros possam auditar o site é uma prática perigosa e explicitamente desaconselhada pelo OWASP. A listagem de diretórios expõe a estrutura de arquivos da aplicação, revelando informações sensíveis que podem ser exploradas por atacantes. A recomendação é desativar a listagem de diretórios e garantir que metadados de arquivos e backups não estejam acessíveis nas raízes web.

Alternativa D — ✅ Correta ⟵ GABARITO

Implementar mecanismos de controle de acesso uma vez e reutilizá-los em toda a aplicação é uma das principais recomendações do OWASP para prevenir a quebra de controle de acesso. Essa prática centraliza a lógica de autorização, garantindo que todas as partes da aplicação apliquem as mesmas verificações de forma consistente. Isso evita que diferentes módulos tenham implementações divergentes ou incompletas, que poderiam ser exploradas por atacantes para acessar recursos não autorizados.

Alternativa E — ❌ Incorreta

Manter presente no diretório raiz da aplicação web os metadados dos arquivos e os dados de backups é uma prática insegura. O OWASP recomenda exatamente o oposto: certificar-se de que os metadados dos arquivos (por exemplo, .git) e os arquivos de backup não estejam presentes nas raízes da web. Esses arquivos podem conter informações sensíveis, como credenciais, configurações internas ou versões antigas do código, que podem ser exploradas por atacantes para comprometer a aplicação.

Gabarito: letra D