Questões de Concurso sobre Autenticação

O parâmetro scope no OAuth 2.0 é usado para especificar

A analista Joana implementou o sistema de autorização da aplicação TJApp utilizando o protocolo OAuth2. Joana decidiu por implementar o fluxo do OAuth2 de concessão por código de autorização. A fim de indicar ao servidor de autorização o fluxo de concessão escolhido, Joana atribuiu ao parâmetro response_type da requisição de autorização de TJApp o valor associado ao fluxo implementado, conforme a especificação do OAuth2.

Joana atribuiu ao response_type o valor:

Um órgão implementou uma solução de segurança que permite gerenciar usuários, concedendo-lhes acesso aos recursos disponíveis, com base em funções. A autenticação é realizada por meio de um único ponto de acesso. A solução também permite gerar relatórios dos tempos de autenticação dos usuários e dos recursos acessados.

A solução de segurança implementada pelo órgão é:

Com relação ao protocolo OAuth e segurança de código, avalie se as afirmativas a seguir são verdadeiras (V) ou falsas (F).

( ) A parte de “auth” da “OAuth” se refere a autorização, não a autenticação.

( ) Dentre as práticas recomendadas para criar um aplicativo OAuth, podem ser citadas: usar escopos mínimos, criptografar os tokens de acesso do usuário e proteger as credenciais do aplicativo.

( ) Dentre os riscos de segurança mais comuns associados às Application Programming Interfaces (APIs, ou Interfaces de Programação de Aplicação) listados no API Security Top 10 da Open Worldwide Application Security Project (OWASP) consta como vulnerabilidade a implementação incorreta de mecanismos de autenticação, que é responsável pela exposição do fluxo de negócios por comprometer o sistema de identificar dos equipamentos de origem do incidente de segurança.

As afirmativas são, respectivamente,

Maria está implementando um novo módulo de segurança em uma aplicação de uma grande rede bancária. Ela já conseguiu garantir que a informação trafegada seja protegida contra um terceiro qualquer. Contudo, existe o fato de não haver confiança completa no envio de mensagens entre o emissor e o receptor.

Com o objetivo de garantir que um receptor da mensagem prove sua origem e integridade e a proteja contra falsificação, Maria deverá implementar o conceito de:

Cada vez mais, sistemas de controle de acesso adotam um padrão aberto cujo funcionamento, de forma simplificada, ocorre da seguinte maneira: um prestador de serviço (SP), em vez de realizar o próprio processo de autenticação do usuário, utiliza um token de autenticação fornecido por um provedor de identidades externo (IdP). Dessa forma, esse token pode ser usado dentro da rede corporativa por intermédio de uma única autenticação. Qual é o nome dado a esse tipo de padrão de login?

No modelo de identidade federada, o provedor de identidades (identity provider) fornece uma identidade ao usuário após este passar por um processo de autenticação.

Considerando-se um ambiente de segurança de sistemas, no qual se é essencial monitorar e registrar atividades para análise posterior, visando a detectar possíveis violações de segurança e manter a prestação de contas, qual dos seguintes conceitos se alinha a essa definição?

De acordo com as definições de Laudon (2014), a autenticação biométrica é o(a):

O sistema de autenticação de dois fatores — 2FA tem o objetivo principal de

O OpenID Connect é um protocolo de identidade simples, construído no protocolo do JSON Web Token, e permite que os aplicativos clientes confiem na autenticação executada por um provedor OpenID Connect para verificar a identidade de um usuário.

Um Analista necessita fornecer autenticação e autorização para usuários que se conectam ao RDS - Remote Desktop Services a partir de redes extemas, ou seja, permitir acesso remoto a desktops e aplicativos através da internet. A função utilizada para isso é o Remote Desktop

JWT são usados para autenticar usuários antes que eles forneçam credenciais válidas, já que a aplicação que utiliza JWT necessita do UserID.

Técnica utilizada em controle de acesso, a biometria facial é capaz de analisar diversos pontos do rosto, tais como distância entre os olhos, formato do nariz e tamanho da boca.

Contas de redes sociais são valiosas para atacantes, que tentam invadi-las e usá-las para espalhar malware e aplicar golpes na rede de contatos. Uma estratégia que vem sendo aplicada por grandes corporações é a verificação em duas etapas. São exemplos de softwares e dispositivos para autenticação com segundo fator: Authy, Google Authenticator e Yubikey.

Com relação à demanda de cuidados no uso da tecnologia de verificação em duas etapas, assinale V para a afirmativa verdadeira e F para a falsa.

( ) Os dados usados na verificação da identidade devem ser atualizados frequentemente, em especial o número principal do telefone celular para recebimento de códigos de

verificação e os cadastros alternativos, como e-mails e números de telefone adicionais.

( ) Em caso de extravio de dispositivo cadastrado como confiável é contraindicada a imediata exclusão do equipamento nos serviços em que estiver configurado, devendo ser reportado a perda dos mecanismos de autenticação ao portal administrador do sistema, aguardando a apuração para efetivar a exclusão do equipamento nos serviços.

( ) Em caso de perda da chave de segurança física ela deve ser revogada e o serviço onde ela é usada deve ser notificado imediatamente, e em caso de perda ou desconfiança de acesso não autorizado, devem ser gerados novamente os códigos de backup.

As afirmativas são, respectivamente,

O OAuth 2.0 utiliza refresh tokens para obter novos tokens de acesso, sem pedir ao usuário para fazer login novamente, e serve de base para o OpenID Connect, que adiciona uma camada de autenticação sobre o protocolo de autorização.

O analista André foi contratado para aprimorar os protocolos de segurança de uma organização. Ele está ciente de que a eficácia do sistema de segurança depende crucialmente da correta implementação e compreensão dos mecanismos de autenticação e autorização.

Nesse contexto, é correto afirmar que:

O EAP protege a autenticação com elevada capacidade de segurança. Em seguida, os dados são transmitidos em texto plano após a autenticação, sendo obrigatório o uso de VPN para proteger os dados em relação à integridade e à confidencialidade.

Com referência ao acesso lógico da segurança da informação, a função que trata do reconhecimento do usuário ou processo que pode acessar determinado recurso é

Para fortalecer a segurança no acesso remoto aos servidores de uma organização, prevenindo acessos não autorizados, a equipe de segurança da informação precisa: