Flashcard FC486831
Por que HTTPS não impede sequestro de sessão quando há falhas de gestão de sessão?
Ameaças aos Sistemas Computacionais
CEBRASPE (CESPE) · 2025
Por que HTTPS não impede sequestro de sessão quando há falhas de gestão de sessão?
Mostrar resposta e comentário
Resposta
HTTPS protege apenas a confidencialidade e a integridade dos dados em trânsito, por isso não impede sequestro de sessão quando existem falhas na gestão de sessão.
• Expiração de tokens: se não houver expiração adequada e invalidação de sessões inativas, um token comprometido pode ser reutilizado por um atacante permitindo o session hijacking.
• Vazamentos: credenciais podem vazar por XSS, dispositivos comprometidos, logs ou ataques de fixation, mantendo o risco mesmo com HTTPS.
• Atributos de cookie: a ausência de flags como HttpOnly, Secure e SameSite e a falta de renovação ou invalidação aumentam a exposição à captura de sessão.
• Mitigações: testar tempo de vida dos tokens, logout forçado, rotação de sessão, flags de cookie e tratamento de sessões inativas reduz o risco de sequestro.
Veja como foi cobrado:
https://flashcardsconcursos.com.br/portal/flashcard/483586
Conteúdo do catálogo FC Concursos · Atualizado em