Flashcard FC486975
O OpenID Connect permite ID Tokens não assinados?
Recursos e Ferramentas de Segurança da Informação
CEBRASPE (CESPE) · 2025
O OpenID Connect permite ID Tokens não assinados?
Mostrar resposta e comentário
Resposta
Não, o OpenID Connect exige que o ID Token seja protegido por assinatura e recomenda transporte seguro via TLS.• Falta de validação: quando assinaturas não são verificadas permite forjamento, replay ou roubo de atributos.
• alg=none aceito: aceitar esse parâmetro permite tokens não assinados e abuso.
• Claims não verificados: falha em checar nonce ou aud permite replay ou uso indevido de tokens.
• Transporte inseguro: transmitir tokens sem TLS facilita o roubo de tokens.
Veja como foi cobrado:
https://flashcardsconcursos.com.br/portal/flashcard/483730
Conteúdo do catálogo FC Concursos · Atualizado em