Questões de Concurso sobre Autenticação

Um sistema seguro deve incluir mecanismos de autenticação para garantir que o usuário é quem diz ser, assim como deve incluir mecanismos de autorização, para a definição do que ele pode fazer.

Um Tribunal de Justiça (TJ) brasileiro está desenvolvendo um novo portal de serviços judiciais que permitirá integração com sistemas de terceiros, como escritórios de advocacia e outras instituições, para acesso a dados específicos de processos em nome de seus usuários. Para viabilizar essa integração, optou-se pela implementação de um mecanismo de Single Sign-On (SSO) utilizando o Keycloak como provedor de identidade (IdP) e o protocolo OAuth 2.0. Assinale a alternativa que apresenta o fluxo do OAuth 2.0 mais adequado para um cenário em que uma aplicação cliente precisa acessar recursos protegidos do TJ em nome do usuário, sem ter acesso direto às credenciais, considerando que a aplicação cliente é uma aplicação web do lado do servidor.

Em sistemas IAM (identity access management), processos de autenticação e de autorização são utilizados para comprovar a identidade do usuário.

Na execução de uma aplicação web, a possibilidade de um usuário não autenticado agir como um usuário autenticado ou de um usuário comum autenticado agir como um administrador representa falha de segurança de elevação de privilégios relacionada ao controle de acesso da aplicação.

A implementação de OpenID Connect no XYZ Digital permite a autenticação federada, na qual um provedor de identidade confiável autentica o usuário em nome do sistema.

No processo de identificação do usuário no sistema, a autorização é um mecanismo de controle de acesso colocado em prática pelo uso de validações, como credenciais secretas, tokens exclusivos de identificação pessoal ou características biométricas únicas.

Segundo o OAuth 2.0, o SSO (single sign-on) ocorre quando um usuário, ao fazer login em um aplicativo, automaticamente faz login em outros aplicativos.

Durante a integração com uma API REST protegida por autenticação do tipo Bearer Token, um desenvolvedor precisa realizar uma requisição GET para o endpoint https: //api.exemplo.com/dados. O token de acesso já foi obtido e está armazenado na variável token.

A partir dessa situação hipotética, assinale a opção que apresenta corretamente a forma de se realizar essa requisição em JavaScript moderno, de maneira segura, incluindo o token no cabeçalho a requisição.

Após um incidente de segurança, a diretoria de uma empresa de e-commerce determinou a revisão de todos os acessos ao banco de dados de produção. O DBA precisa garantir que apenas pessoas autorizadas possam se conectar ao SGBD, verificando a identidade de cada tentativa de acesso. Qual mecanismo de segurança é a primeira barreira e é absolutamente essencial para atender a essa determinação da diretoria?

A autenticação do portador na API REST é feita pelo servidor por meio da verificação do token enviado pelo cliente no cabeçalho da solicitação.

Open Finance utiliza OpenID Connect como protocolo de autenticação, por meio de APIs do tipo REST.

Com base no funcionamento do Single-Sign On (SSO) usando Keycloak, analise as afirmativas abaixo.

I. Os usuários precisam autenticar-se individualmente em cada aplicação que utilizam, mesmo após o login no Keycloak.

II. O Keycloak gerencia a autenticação, eliminando a necessidade de cada aplicação implementar seu próprio formulário de login e armazenamento de usuários.

III. Após o login em Keycloak, os usuários podem acessar outras aplicações integradas sem precisar fazer login novamente.

IV. O logout em Keycloak é isolado para cada aplicação, o que significa que o usuário precisa sair de cada sistema separadamente.

Estão corretas as afirmativas:

Com relação à segurança da informação, assinale a alternativa tecnicamente correta.

Julgue o próximo item, relativo aos serviços de autenticação Keycloak.

Em Keycloak, a troca de token é o processo pelo qual um cliente pode trocar um token Keycloak existente por um token externo.

A analista Daniela está implementando o módulo de autenticação de um sistema, com base no protocolo OpenID Connect (OIDC). Na rotina de verificação da autenticação, Daniela deve avaliar se o ID Token, retornado pelo servidor OIDC, foi emitido em um horário considerado válido.

Para avaliar o horário de emissão do token, Daniela deve extrair do ID Token o valor do atributo:

Durante uma auditoria de segurança em um sistema de dados financeiros, a equipe responsável identificou uma vulnerabilidade crítica em um micro serviço responsável pela autenticação do sistema. O sistema estava aceitando tokens JWT cujo cabeçalho (header) especificava o algoritmo "none". Um atacante, explorando essa falha, conseguiu gerar manualmente um token falso com privilégios de administrador, obtendo acesso não autorizado a recursos sensíveis do sistema. Em relação à autenticação e autorização baseadas em tokens JWT, assinale a alternativa que descreve corretamente a implicação direta de permitir o uso do algoritmo "none":

Ao expandir sua plataforma de serviços on-line, uma empresa do ramo financeiro precisa garantir que apenas usuários autorizados acessem informações sensíveis. Para isso, a equipe de segurança está implementando um modelo baseado nos princípios de Autenticação, Autorização e Auditoria (AAA).

Na implementação desse modelo, qual dos seguintes processos é responsável por verificar a identidade de um usuário antes de conceder acesso ao sistema?

O OAuth 2.0 é um protocolo de autorização que foi projetado para conceder um acesso a um conjunto de recursos. No desenvolvimento de sistemas esse recurso é muito útil, pois permite que um usuário faça login em uma aplicação sem a necessidade de compartilhar sua senha diretamente com o serviço. Utilizando esse protocolo o usuário autoriza a aplicação a acessar seus dados, através de um token de acesso gerado durante o processo de autorização, facilitando a integração com serviços de terceiros sem comprometer a segurança dos dados do usuário. Sobre o OAuth 2.0, assinale a afirmativa correta.

No contexto do protocolo OpenID Comect, um identity token representa o resultado de um processo de autenticação, com assinatura digital, que contém declarações descritoras do usuário e os detalhes da autenticação, como, por exemplo, informações sobre como e quando o usuário foi autenticado.

A Prefeitura de São Paulo está hipoteticamente desenvolvendo um sistema integrado de segurança urbana, chamado Segurança 380º, que conecta câmeras de vigilância, sensores de tráfego e dispositivos loT em áreas públicas. O objetivo é monitorar em tempo real eventos críticos, como congestionamentos, atos de vandalismo e emergências médicas. Esse sistema manipula dados sensíveis, como informações de placas de veículos, padrões de movimento de pedestres e eventos registrados por câmeras. Para proteger o sistema contra ataques cibernéticos, a equipe técnica decidiu implementar uma arquitetura Zero Trust (ZTA) com práticas DevSecDps. Para viabilizar o sistema Segurança 360º, o consenso foi optar por