Questões de Concurso sobre Controle de sessão

Uma instituição expôs uma API RESTful protegida por JWT com várias instâncias atrás de um balanceador, em que o login gera access token de 2 horas, que é validado em cada requisição por meio da assinatura da data de expiração e das claims de roles. Porém, após um incidente de credenciais vazadas, a equipe detectou que, mesmo após o usuário trocar a senha, os tokens antigos continuam válidos até expirarem inclusive em diferentes serviços que compartilham a mesma chave de assinatura. Para que a equipe possa mitigar esse problema mantendo a escalabilidade e o modelo stateless da API, a estratégia mais adequada é

O IFCE possui um sistema de gestão acadêmica que apresenta degradação de desempenho durante períodos de alta demanda, como dias de matrícula on-line e lançamento de notas. A infraestrutura atual conta com um único servidor de aplicação. O analista de TI propôs uma arquitetura com múltiplas instâncias do servidor de aplicação, utilizando o NGINX como proxy reverso com balanceamento de carga. Após a implantação com três instâncias, usuários relataram perda de sessão ao serem redirecionados para instâncias diferentes: o usuário realizava login no sistema, mas, ao navegar entre módulos, era redirecionado a outra instância sem o estado de sessão, exigindo nova autenticação. Qual recurso de configuração do NGINX resolve esse problema de persistência de sessão sem exigir modificações no código da aplicação?

Em sistemas 3443utilizados por universidades, como Sistemas Integrados de Gestão Acadêmica, o protocolo HTTP é utilizado para comunicação entre navegadores dos usuários e servidores da aplicação. Métodos HTTP como GET e POST são empregados para envio de dados, enquanto cookies e sessões são utilizados para manter informações entre requisições. 3podem incluir atributos de segurança adicionais, como HttpOnly e SameSite.

Considere o seguinte trecho de código em PHP, utilizado em um módulo de autenticação de um sistema acadêmico:

Fonte: dados do elaborador

Com base no funcionamento do protocolo HTTP, no uso de sessões e cookies e nos atributos de segurança aplicados no código apresentado, analise as afirmações a seguir.

I. O atributo HttpOnly, configurado no cookie ultimo_acesso, impede que scripts executados no navegador, como JavaScript, acessem diretamente o valor desse cookie.

II. O atributo SameSite=Strict restringe o envio do cookie em requisições originadas de outros domínios, contribuindo para reduzir ataques de CSRF.

III. Uma vez criada, a variável de sessão $_SESSION['aluno_logado'] pode ser acessada apenas em requisições HTTP do tipo POST, pois foi definida em uma requisição desse tipo.

IV. Caso o formulário utilizasse o método GET em vez de POST, o valor da matrícula poderia aparecer na URL da requisição, o que pode ser indesejável em cenários em que o programador não quer deixar explícitos os valores dos parâmetros que estão sendo passados no formulário.

Assinale a alternativa CORRETA:

Um desenvolvedor implementa um sistema de autenticação web usando sessões no servidor. Quando uma aplicação web estabelece uma nova sessão para um usuário, qual é o comportamento padrão necessário para manter o estado da sessão entre requisições HTTP?

Em navegadores, cookies de sessão têm como característica:

O controle de filas de impressão permite pausar, reordenar ou cancelar trabalhos, sendo uma funcionalidade essencial para ambientes multiusuário e servidores de impressão.

Considerando que o protocolo HTTP é stateless, como o PHP mantém o estado de uma sessão entre diferentes requisições de um mesmo usuário?

Uma promotoria regional necessita aplicar uma política de senha complexa e bloqueio automático de sessão após período de inatividade em estações fora do domínio executando Windows Server, tendo em conta que não há controlador disponível no local. Nesse caso, a ação correta é

Uma desenvolvedora está implementando o carrinho de compras de um sistema de e-commerce. Ela percebe que, ao enviar a segunda requisição HTTP ao servidor — adicionando um segundo produto ao carrinho —, o servidor não tem como associá-la à primeira requisição do mesmo cliente: o carrinho parece estar sempre vazio a cada nova chamada. Assinale a alternativa que identifica corretamente a causa do problema e a abordagem padrão para resolvê-lo.

Uma aplicação web crítica de um órgão público opera em um cluster de servidores. O Balanceador de Carga está configurado para utilizar o algoritmo Round Robin ponderado e ativado o recurso de Afinidade de Sessão.

A principal desvantagem ou risco da utilização da Afinidade de Sessão em termos de escalabilidade e tolerância a falhas, é que ela

No Windows Server 2016 e superiores, a configuração padrão do RDS permite, por meio de diretiva de grupo (GPO), que cada usuário mantenha mais de uma sessão simultânea em um mesmo servidor host de sessão da Área de Trabalho Remota.

Laravel é um framework muito utilizado com a linguagem PHP, ele oferece aos desenvolvedores diversos recursos para controlar sessões.

Os mecanismos utilizados para recuperar dados de uma sessão são

Aplicações em Linguagem PHP conectam-se a bancos relacionais e expõem interfaces na web. Assinale a alternativa que alinha proteção contra injeção, gestão de sessão e codificação de saída para reduzir superfícies de ataque em formulários autenticados.

Aplicações web que não implementam corretamente mecanismos de controle de sessão, como expiração de tokens e invalidação de sessões inativas, tornam-se vulneráveis a sequestro de sessão (session hijacking), mesmo que utilizem HTTPS.

Em sistemas para a internet, muitas vezes se faz necessário o armazenamento de estado entre requisições. Para tanto, servidores web utilizam principalmente dois recursos: variáveis de sessão e cookies.

Considere que, em um script PHP, é executada a linha de código a seguir:

setcookie(‘xxx’, ‘yyy’, time()+30);

Considere as seguintes asserções:

I. A linha cria um cookie com o nome ‘xxx’ armazenando nele a string ‘yyy’.

II. O cookie definido pela linha de código em questão irá expirar em 30 minutos após a sua criação.

III. O valor armazenado no cookie pode ser acessado, utilizando a seguinte chamada de função: getcookie(‘xxx’).

IV. O valor armazenado no cookie pode ser acessado através da superglobal $_COOKIE, da seguinte forma: $_COOKIE[‘yyy’].

Está(ão) correta(s) apenas a(s) seguinte(s) asserção(ões)

A 'latência de entrada' em um esquema de controle se refere

No contexto de segurança da informação, os cookies:

O comando net session \\127.0.0.1 (ou localhost) exibe pastas compartilhadas que estão disponíveis no sistema, possibilitando que sejam fornecidas informações valiosas à fase de preparação do SANS Incident Handler’s Handbook.

Na comunicação feita entre cliente e servidor, uma API Restful armazena informações de outras sessões a respeito das solicitações, de modo a fazer um controle confiável das suas transações.

Em aplicações, WEB é uma prática comum a utilização de sessões para realizar o armazenamento do estado de uma aplicação; porém, geralmente, esse recurso realiza o procedimento no servidor web da aplicação e não no próprio navegador do usuário, como ocorre quando se utilizam os cookies. Um exemplo prático da utilização desse recurso em uma aplicação dessa natureza pode ser o armazenamento de dados sensíveis como usuário e e-mail em uma rotina de autenticação. Apesar das sessões utilizarem o servidor para a sua operacionalização, existem vulnerabilidades no mecanismo que podem ser exploradas pelos hackers para promover a quebra do gerenciamento da sessão de uma aplicação. Analise as afirmativas a seguir sobre práticas seguras para o gerenciamento de sessões.

I. Gerar um novo identificador de sessão quando houver uma nova autenticação.

II. Configurar o atributo “secure” para cookies transmitidos através de uma conexão TLS.

III. Configurar os cookies com o atributo “HttpOnly”, a menos que seja explicitamente necessário ler ou definir os valores dos mesmos através de scripts do lado cliente da aplicação.

Está correto o que se afirma em