Questão FC375417
O LDAP (Lightweight Directory Access Protocol) é um protocolo para serviços de diretório que possibilita a organização dos dados de forma hierárquica, possibilitando que usuários d
Gerenciamento de Redes
Instituto Consulplan · 2024
O LDAP (Lightweight Directory Access Protocol) é um protocolo para serviços de diretório que possibilita a organização dos dados de forma hierárquica, possibilitando que usuários de uma rede local ou pública possam localizar dados sobre organizações, indivíduos e outros recursos, como dispositivos, arquivos e aplicações; devido à sua configuração otimizada o protocolo é considerado leve se comparado a outros protocolos existentes no mercado. Comercialmente, o protocolo pode ser utilizado para disponibilizar um local centralizado para autenticação de usuários em um ambiente de rede, permitindo uma conexão única onde um usuário autorizado possa validar o acesso para múltiplas aplicações e serviços sem a necessidade um novo logon para cada operação. Por se tratar geralmente de um serviço baseado na web, o recurso está sujeito a um tipo de ataque conhecido como LDAP Injection que consiste em explorar as entradas de autenticação para obter informações confidenciais do recurso. Sobre o ataque, assinale a afirmativa INCORRETA.
- É comum devido à falta de interfaces de consulta LDAP parametrizadas e mais seguras.
- Uma forma de defesa ao ataque é tratar o escape de todas as variáveis usando a função de codificação LDAP correta.
- Como medida preventiva ao ataque, os filtros LDAP com os caracteres especiais * [ ] \ 0 NULL devem possuir tratamento de escape.
- Outra forma de defesa ao ataque é utilizar estruturas que protegem automaticamente contra a injeção de LDAP como, por exemplo, o LINQ to Active Directory.
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
A afirmação é incorreta porque descreve de forma imprecisa quais caracteres devem receber tratamento de escape em filtros LDAP.
Segundo o padrão de filtros ( RFC 4515 ), os caracteres que exigem escape em filtros de busca são: *, (, ), \ e o caractere NUL (U+0000). Os colchetes [ e ] não são caracteres especiais de filtro e, portanto, não fazem parte da lista obrigatória para escape nesse contexto.
Há, contudo, outra especificação para nomes distintos (DNs — RFC 4514), onde aparecem outros caracteres sensíveis (por ex.: vírgula, sinal de mais, aspas, \<, >, ponto-e-vírgula, etc.). A confusão entre filtros e DNs é a origem do erro na alternativa.
Como prevenção correta: use funções de escape da biblioteca LDAP ou APIs parametrizadas e valide/normalize entradas em vez de apenas substituir caracteres manualmente.
Conteúdo do catálogo FC Concursos · Atualizado em