FC ConcursosFC Concursos

Questão FC375576

Determinado usuário utilizou o seu computador pessoal com um browser de sua preferência, para realizar login no site de uma instituição financeira que ele utiliza. Após realizar co

Ameaças aos Sistemas Computacionais

Instituto Consulplan · 2024

Determinado usuário utilizou o seu computador pessoal com um browser de sua preferência, para realizar login no site de uma instituição financeira que ele utiliza. Após realizar corretamente a autenticação com o seu usuário/senha, ele recebeu um e-mail em nome dessa mesma instituição que possuía um link para acesso à conta; sem desconfiar da procedência da mensagem, o usuário clicou no link e prosseguiu com o preenchimento dos dados para uma transferência bancária. O sistema da instituição financeira em questão não apresentava um mecanismo eficiente de proteção para a utilização de cookies e, com isso, um hacker explorou essa vulnerabilidade capturando o cookie original da autenticação que foi realizada, para promover um ataque conhecido como Cross-Site Request Forgery (CSRF), forjando uma requisição cross-site de um site para o outro. Sobre o ataque sofrido pelo usuário, assinale a afirmativa INCORRETA.

  1. Alguns Frameworks como Joomla, Spring, Struts, Ruby on Rails e .NET possuem suporte CSRF integrado.
  2. As transações realizadas em várias etapas e a utilização de HTPS são consideradas medidas de prevenção efetivas.
  3. A construção de URL ou script de exploração aliada às práticas de engenharia social são consideradas estratégias para promover o ataque.
  4. A proteção com tokens CSRF às solicitações de mudança de estado e a validação dessas no backend são consideradas formas de prevenção.
Mostrar resposta e comentário

Gabarito

B

Comentário do professor

A alternativa é incorreta por dois motivos principais. Primeiro, contém um erro óbvio: foi escrito HTPS em vez de HTTPS. Isso coloca em dúvida a afirmação desde o início.

Segundo, mesmo com HTTPS, afirmar que “transações em várias etapas” mais HTTPS são medidas suficientes contra CSRF é enganoso. O HTTPS protege a confidencialidade/integridade do canal, mas não impede que um atacante force requisições autenticadas usando o cookie da vítima.

As defesas eficazes incluem: uso de tokens CSRF por formulário/requisição, validação de Origin/Referer, e configuração de cookies com SameSite (além de Secure/HttpOnly conforme aplicável). Para operações críticas, exigir reautenticação ou confirmação explícita também é recomendado.

Portanto, a combinação citada na alternativa não é garantia de proteção contra CSRF.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo