Sobre os mecanismos de criptografia aplicados à segurança de redes de computadores, assinale a alternativa correta.
Na criptografia assimétrica, remetente e destinatário compartilham a mesma chave para cifrar e decifrar mensagens.
A criptografia simétrica é, em geral, mais custosa computacionalmente do que a criptografia assimétrica, sendo por isso reservada a pequenos volumes de dados.
A posse da chave pública de um destinatário é suficiente para decifrar mensagens cifradas com essa mesma chave.
O uso da criptografia simétrica elimina a necessidade de um mecanismo seguro de distribuição de chaves entre as partes.
Em sistemas seguros de comunicação, é comum um modelo híbrido: usa-se criptografia assimétrica para estabelecer ou proteger uma chave de sessão e criptografia simétrica para cifrar o tráfego de dados.
O sistema de processo judicial eletrônico utilizado pelo Tribunal de Justiça do Estado X oferece uma série de funcionalidades que tornam o andamento processual mais ágil, seguro e transparente. A área de segurança da informação do tribunal identificou uma tentativa de acesso aos dados sigilosos do sistema. O atacante utilizou credenciais falsas de um funcionário do tribunal e conseguiu capturar alguns pacotes de dados. Após analisar o ataque, o gestor de segurança da informação garantiu que o atacante não conseguiu ler os dados capturados.
No cenário descrito, a criptografia:
eliminou a necessidade de autenticação;
tornou impossível qualquer fase do ataque;
protegeu a identidade do funcionário do tribunal;
identificou que as credenciais de acesso eram falsas;
impediu que o atacante acessasse o conteúdo dos pacotes.
A equipe de desenvolvimento de uma Secretaria da Fazenda está analisando protocolos para implementar o 550 no Portal do Contribuinte. Considerando os requisitos de segurança, a delegação segura de autorização e a necessidade de obter informações básicas do perfil do cidadão (como nome e CPF) para personalização do portal, a equipe de desenvolvimento optou por
implementar autenticação básica HTTP com criptografia SSL/TLS, armazenando as credenciais em sessão no servidor da Secretaria.
utilizar OAuth 2.0 com o fluxo Client Credentials, em que a aplicação da Secretaria se autentica diretamente no servidor gov.br para acessar recursos em nome do próprio sistema.
adotar OpenlD Connect sobre OAuth 2.0, utilizando o fluxo de Authorization Code com PKCE (Proof Key for Code Exchange), em que o gov.br atua como provedor de identidade.
configurar OpenlD Connect para troca de asserions XML entre a Secretaria é o gov.br, com autenticação baseada em certificados digitais.
implementar API Keys estáticas, em que cada contribuinte recebe uma chave única para autenticar diretamente nas APIs da Secretaria, sem intermediários.
Durante um atendimento no setor administrativo de uma escola, a funcionária utilizava o computador para acessar o sistema interno e responder e-mails. Em determinado momento, precisou criar uma nova senha para acessar um portal de serviços públicos, além de orientar um colega sobre cuidados ao utilizar a internet em computadores compartilhados. Considerando essa situação e os cuidados básicos com segurança digital, analise as alternativas a seguir e assinale a CORRETA.
Informações pessoais, como número de documentos e dados bancários, podem ser compartilhadas por e-mail desde que o remetente seja conhecido.
Ao acessar um site que solicita dados pessoais, a presença de qualquer cadeado na página garante que o conteúdo é verdadeiro e livre de tentativas de fraude.
Uma senha considerada mais segura tende a combinar letras maiúsculas e minúsculas, números e, quando permitido, símbolos, evitando informações facilmente associadas ao usuário, como datas de nascimento.
Em computadores de uso coletivo, é recomendável salvar senhas no navegador para facilitar o acesso de todos os usuários ao mesmo sistema.
O uso de antivírus dispensa a necessidade de atualização do sistema operacional, pois a proteção passa a ser automática e completa.
Durante uma conexão HTTPS entre o navegador de um usuário e o portal do órgão, ocorre internamente um processo de negociação criptográfica. O servidor envia seu certificado digital, o cliente verifica sua autenticidade e ambos negociam uma chave de sessão que será utilizada para cifrar os dados transmitidos durante a comunicação. Sobre os sistemas criptográficos envolvidos nesse processo, assinale a alternativa CORRETA.
Todo o processo HTTPS utiliza exclusivamente criptografia simétrica, como o AES, para proteger a troca de chaves e a sessão.
O certificado digital e a negociação inicial da conexão utilizam criptografia de chave pública (assimétrica), enquanto os dados efetivos da sessão são cifrados com uma chave de sessão simétrica negociada durante o handshake, caracterizando um modelo híbrido.
A criptografia assimétrica é mais eficiente para cifrar grandes dados, sendo usada tanto na troca de chaves quanto na sessão HTTPS.
Na criptografia simétrica, cada participante utiliza um par de chaves pública e privada para realizar a comunicação.
A vantagem da criptografia simétrica é a sua facilidade de distribuição segura de chaves em redes abertas, sem trocas prévias.
O setor de TI da ALE-RO precisa proteger dados sensíveis em repouso em seus servidores. Para isso, precisa de uma solução que permita criptografia transparente dos dados, em que os arquivos são criptografados automaticamente quando salvos no disco e descriptografados quando acessados por usuários autorizados.
Nesse caso, a solução mais adequada é
implementar SSL/TLS para transferência de dados.
utilizar BitLocker Drive Encryption.
configurar autenticação multifator para acesso.
implementar assinatura digital nos documentos.
usar PGP para criptografia de arquivos individuais.
Caso precise compactar um diretório inteiro chamado “prontuarios_2024” em um arquivo protegido por senha, o comando tar ‑cvzf prontuarios_2024.tar.gz prontuarios_2024 && zip ‑e prontuarios_2024.tar.gz será suficiente para gerar um arquivo criptografado.
Certo
Errado
Sobre o uso da informática aplicada à secretaria escolar, considere as práticas seguras. Assinale a alternativa correta quanto à segurança da informação.
Utilizar senhas seguras e evitar o acesso não autorizado.
Compartilhar senhas com colegas para facilitar o trabalho.
Usar e-mails pessoais para envio de documentos oficiais.
Deixar o sistema de gestão aberto para maior agilidade.
Uma das vulnerabilidades do OpenID Connect é o uso de tokens não assinados para transportar atributos pessoais do usuário final.
Certo
Errado
Com o advento da mobilidade, diversas organizações flexibilizaram as relações de trabalho, permitindo a realização das atividades diárias pelos seus colaboradores em locais diferentes do ambiente corporativo. Uma das formas de garantir a segurança da informação na operacionalização dessa dinâmica é utilizar VPN (Virtual Private Network), que estabelece uma conexão digital entre o computador e o servidor remoto de propriedade de um provedor VPN, criando um túnel ponto a ponto que criptografa dados pessoais, mascara o endereço IP e permite evitar bloqueios de sites e firewalls na internet.
Sobre protocolos utilizados em VPN, analise as afirmativas a seguir.
I. OpenVPN utiliza criptografia de 256 bits com OpenSSL apenas para roteamentos UDP.
II. L2TP/IPSec utiliza criptografia de 128 bits para roteamentos TCP.
III. SSTP utiliza criptografia AES de 256 bits para roteamentos TCP e SSL/TLS.
Está correto o que se afirma apenas em
I.
II.
III.
II e III.
Dentre as alternativas a seguir, assinale aquela que reflete o conceito de privacidade por padrão.
Deve-se dar preferência ao uso de conexões discadas com a Internet em detrimento a conexões de banda larga, uma vez que as primeiras são imunes a ataques do tipo man-in-the-middle.
Enquanto estiver em trânsito, um usuário deve manter seu smartphone em “modo avião” para não ter sua localização rastreada.
Autenticação por fatores biométricos não devem ser utilizados em qualquer tipo de sistema, uma vez que sua coleta envolve dados de características físicas do usuário.
Aplicativos e websites de redes sociais não devem ser usados, conferindo ao usuário menor exposição de dados pessoais na Internet.
Quando um usuário utiliza um sistema ou serviço digital pela primeira vez, suas configurações de privacidade devem iniciar no modo que lhe confere maior grau de privacidade.
Um sistema legado da Assembleia Legislativa utiliza um módulo de criptografia CriptoLegado com uma interface específica criptografar(dados, chave). O Analista de Sistemas precisa integrar esse módulo a um novo framework que espera que todos os serviços de segurança implementem a interface IServicoSeguranca, que define o método protegerInformacao(dados,tipoAlgoritmo).
O Padrão de Projeto Estrutural que deve ser empregado para que o módulo legado possa ser utilizado pelo novo framework sem que seja necessário modificar o código do módulo legado ou a interface do novo framework é o
Decorator.
Bridge.
Facade.
Proxy.
Adapter.
Sobre o uso do plugin de autenticação caching sa2 password no MySQL 8, assinale a alternativa correta.
Esse plugin permite que a senha seja enviada em texto claro sem qualquer proteção.
O plugin não está habilitado por padrão e deve ser carregado manualmente.
O plugin funciona apenas no servidor e não requer bibliotecas do lado cliente.
E necessário usar uma conexão segura (TLS/SSL) ou, em conexões não criptografadas, habilitar a troca de senha via RSA.
Substitui o uso de SSL, dispensando conexões seguras.
Disponibilizado inicialmente em 2012, o OAuth2 é um protocolo de autorização cujo objetivo é permitir que os usuários deem acesso aos seus recursos hospedados por um provedor de serviços, sem apresentar credenciais.
A respeito do OAuth2, assinale a afirmativa correta.
Ao contrário dos tokens de acesso, os tokens de atualização são destinados ao uso somente com servidores de autorização e nunca são enviados aos servidores de recursos.
Os clientes não precisam registrar seus redirecionamentos de URI antes de usá-los em um fluxo de autorização.
O servidor de recursos emite tokens de acesso ao cliente após autenticar o proprietário do recurso com sucesso e obter autorização.
Os tokens de atualização devem ser enviados diretamente ao cliente para autenticação, sem necessidade de proteção adicional.
Só existe um tipo de cliente, o confidencial, aquele capaz de manter a confidencialidade de suas credenciais.
Um analista de segurança está em um teste de intrusão e deseja realizar um ataque à LAN a partir de uma máquina Linux conectada na rede. Nesse caso, ele deve utilizar o
da ferramenta Wireshark.
do Metasploit Framework.
da ferramenta Burp Suite.
do OpenVAS Framework.
da ferramenta Nikto.
As abordagens REST e SOAP possuem o objetivo de permitir a comunicação entre aplicações web. Com relação ao seu emprego para transmissão de dados, analise as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa.
( ) A transmissão de dados via SOAP é considerada mais segura que via RESTful API's, visto que REST não permite criptografia.
( ) SOAP usa estritamente o formato XML para suas mensagens, enquanto REST permite JSON apenas.
( ) A especificação WS-Security é utilizada exclusivamente no protocolo SOAP.
As afirmativas são, respectivamente,
F – V – V.
F – V – F.
V – F – F.
F – F – F.
F – F – V.
A vulnerabilidade de segurança da informação está relacionada a qualquer fator capaz de facilitar a atuação de cibercriminosos, ou qualquer outro tipo de ameaça externa, no que diz respeito a invasões, roubos de dados ou acessos não autorizados a recursos. HeartBleed é um problema de segurança de rede relacionado a uma vulnerabilidade relativa a uma falha que ocorre:
no protocolo NAT, inibindo seu funcionamento com endereços de 64 bits.
na execução de comandos arbitrários no ambiente shell de sistema UNIX.
no protocolo NTP, permitindo negação de serviço por amplificação.
na biblioteca de criptografia OpenSSL, permitindo roubo de informação protegida.
Foi identificado, pelo administrador de uma rede, que existe uma fraqueza de segurança do protocolo de criptografia assimétrico comumente usado para proteger todo tipo de comunicação na Internet (principalmente bancária), de forma que há risco de roubo das informações protegidas. Esse protocolo opera também de forma modular e usa certificado digital. Esse protocolo será atualizado. Nesse caso, deve-se buscar uma atualização para o protocolo:
ASCOM.
OpenPGP.
OpenSSL.
IPSpoofing.
KeyPrivacy.
O bug HeartBleed, problema recente de segurança de rede, está relacionado a uma vulnerabilidade relativa a
uma falha no protocolo NAT, inibindo seu funcionamento com endereços de 64 bits.
uma falha no sistema operacional Windows XP, permitindo acesso remoto sem autenticação.
uma falha no protocolo NTP, permitindo negação de serviço por amplificação.
uma falha na biblioteca de criptografia OpenSSL, permitindo a leitura da memória do equipamento atacado.
uma falha no ambiente shell de sistema UNIX, permitindo a execução de comandos arbitrários.