Questão de Segurança da Informação — Conceitos Básicos em Segurança da Informação — FEPESE 2023

OAuth 2.0 — Papéis e emissão de Access Token

Gabarito: letra E. O Access Token é emitido pelo Authorization Server (Servidor de Autorização), que é o componente responsável por autenticar o Resource Owner e, após obter autorização, gerar o token para o Client acessar os recursos protegidos no Resource Server.

O OAuth 2.0 define quatro papéis principais: Client (aplicação que solicita acesso), Resource Owner (usuário que concede permissão), Resource Server (servidor que hospeda os recursos protegidos) e Authorization Server (servidor que emite os tokens de acesso). O fluxo básico envolve o Resource Owner autenticando-se no Authorization Server, que então emite um Access Token para o Client; este token é posteriormente apresentado ao Resource Server para acesso aos recursos.

Alternativa A — ❌ Incorreta

Client: O Client é a aplicação que solicita o token, não o emite. Ele recebe o token do Authorization Server para utilizá-lo nas requisições ao Resource Server.

Alternativa B — ❌ Incorreta

Client Owner: Não é um papel definido no OAuth 2.0. Os papéis são Client, Resource Owner, Authorization Server e Resource Server. O termo "Client Owner" não existe no protocolo.

Alternativa C — ❌ Incorreta

Resource Server: É o servidor que hospeda os recursos protegidos e valida o Access Token apresentado pelo Client, mas não o emite. A emissão é responsabilidade do Authorization Server.

Alternativa D — ❌ Incorreta

Resource Owner: É o usuário que concede autorização para o Client acessar seus recursos. Ele interage com o Authorization Server para autenticação, mas não emite o token.

Alternativa E — ✅ Correta ⟵ GABARITO

Authorization Server: É o papel responsável por emitir o Access Token após autenticar o Resource Owner e obter sua autorização. Conforme a RFC 6749, o Authorization Server é o endpoint que gera os tokens para o Client.

Gabarito: letra E.