Questão de Segurança da Informação — VPN — VUNESP 2024

VPN: proteção do tráfego em redes públicas

Gabarito: letra C. A VPN (Virtual Private Network) cria um túnel criptografado entre o dispositivo do usuário e o servidor VPN, de modo que o tráfego que trafega pela rede local (como uma rede Wi-Fi pública) fica protegido contra a interceptação por sniffers — mesmo que o site seja acessado via HTTP, o conteúdo não pode ser lido por quem está fora do túnel. Essa é a proteção central que a VPN oferece: confidencialidade do tráfego na rede de transporte.

A VPN é uma tecnologia que estabelece uma conexão segura e criptografada (o "túnel") sobre uma rede pública, como a Internet. O objetivo é garantir que os dados trafegados entre o usuário e o destino não possam ser lidos ou alterados por terceiros que estejam no caminho — especialmente em redes locais compartilhadas, como as de aeroportos, cafés e hotéis. Quando o usuário ativa a VPN, todo o tráfego de saída do dispositivo é encapsulado e criptografado até chegar ao servidor VPN; a partir dali, ele segue para o destino final. Isso significa que, na rede local, um sniffer (ferramenta de captura de pacotes) só enxerga o tráfego criptografado do túnel, não o conteúdo das requisições HTTP ou HTTPS.

É importante entender o que a VPN não faz. Ela não é um antivírus, não bloqueia downloads de malware, não impede o acesso a sites falsos (phishing) e não protege contra ataques como XSS — esses são problemas de camadas diferentes (aplicação, conteúdo, navegação). A VPN atua na camada de rede/transporte, protegendo o tráfego entre o usuário e o servidor VPN, mas não interfere no que acontece entre o servidor VPN e o site de destino, nem no conteúdo das páginas acessadas.

Um exemplo concreto: imagine um usuário em um café com Wi-Fi aberto. Sem VPN, um atacante na mesma rede pode usar um sniffer para capturar os pacotes e, se o site for HTTP, ler as informações (como senhas) em texto claro. Com VPN, o tráfego do usuário até o servidor VPN é criptografado; o sniffer vê apenas dados ilegíveis. Porém, se o usuário clicar em um link malicioso e baixar um malware, a VPN não impede — ela não analisa o conteúdo. Da mesma forma, se o usuário acessar um site falso de phishing, a VPN não o bloqueia, pois não verifica a autenticidade dos sites.

A distinção crucial é entre proteção do tráfego (confidencialidade, integridade) e proteção do conteúdo/usuário (antivírus, anti-phishing, filtros). A VPN se enquadra na primeira categoria. A banca explora exatamente essa confusão: o candidato que pensa que VPN é uma "proteção total" tende a marcar alternativas que descrevem funções de outras ferramentas de segurança.

Guarde o critério decisivo: a VPN protege o tráfego na rede de transporte (túnel criptografado), mas não protege contra ameaças de conteúdo ou aplicação (malware, phishing, XSS, cookies). É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Afirma que a VPN impede que servidores web leiam ou gravem cookies no navegador. Isso é falso: cookies são gerenciados pelo navegador e pelo site, independentemente da VPN. A VPN não interfere na relação entre o navegador e o servidor web — ela apenas protege o tráfego entre o dispositivo e o servidor VPN. O controle de cookies é feito por configurações do navegador ou extensões específicas, não pela VPN.

Alternativa B — ❌ Incorreta

Afirma que a VPN impede o download de softwares maliciosos. Isso é função de antivírus ou ferramentas de filtragem de conteúdo, não da VPN. A VPN não analisa o conteúdo dos downloads; ela apenas criptografa o tráfego. Um usuário com VPN ativa pode baixar um arquivo malicioso normalmente, pois a VPN não inspeciona o que é transferido.

Alternativa C — ✅ Correta ⟵ GABARITO

Descreve exatamente a proteção central da VPN: mesmo acessando via HTTP, o tráfego não pode ser monitorado por um sniffer em outro computador da mesma rede local, mas fora da VPN. Isso ocorre porque o tráfego é criptografado dentro do túnel VPN. O sniffer na rede local vê apenas pacotes criptografados, sem conseguir ler o conteúdo das requisições HTTP. Essa é a função de confidencialidade da VPN na rede de transporte.

Alternativa D — ❌ Incorreta

Afirma que a VPN impede o acesso a sites falsos (phishing). Isso é falso: a VPN não verifica a autenticidade dos sites acessados. Sites falsos podem ser acessados normalmente com VPN ativa, pois a VPN não analisa o conteúdo ou a reputação dos domínios. A proteção contra phishing é feita por filtros de navegação, listas negras ou extensões específicas.

Alternativa E — ❌ Incorreta

Afirma que a VPN protege contra ataques XSS (Cross-Site Scripting). Isso é falso: XSS é uma vulnerabilidade de aplicação web, explorada no navegador do usuário. A VPN não interfere no processamento de páginas web nem na execução de scripts. A proteção contra XSS é responsabilidade do site (validação de entrada) e do navegador (políticas de segurança), não da VPN.

Gabarito: letra C