Questão FC375602
O time de desenvolvimento da PRODABEL S/A estava trabalhando ativamente na construção de uma API para atender a uma demanda específica da organização. Ao avançar no processo de des
Recursos e Ferramentas de Segurança da Informação
Instituto Consulplan · 2024
O time de desenvolvimento da PRODABEL S/A estava trabalhando ativamente na construção de uma API para atender a uma demanda específica da organização. Ao avançar no processo de desenvolvimento, o gestor do projeto detectou a necessidade da implementação de um mecanismo de autorização de acesso, para um maior controle da aplicação; ao avaliar as possibilidades, optou por implementar o protocolo OAuth 2.0, facilitando o processo de desenvolvimento e, consequentemente, acelerando o prazo de entrega da API. Sobre o protocolo selecionado pelo gestor, está correto o que se afirma em, EXCETO:
- A PKCE é uma extensão do fluxo do código de autorização para evitar ataques CSRF e injeção de código de autorização.
- A especificação OAuth permite que o servidor de autorização ou usuário modifique os escopos concedidos à aplicação em comparação com o que é solicitado.
- Alguns servidores podem emitir tokens que são uma sequência curta de caracteres hexadecimais, enquanto outros podem usar tokens estruturados, como JSON Web Tokens.
- O tipo de concessão Update Token é utilizado pelos clientes para trocar um token complementar por um token de acesso quando esse expirar, sem interação adicional com o usuário.
Mostrar resposta e comentário
Gabarito
D
Comentário do professor
A afirmação está incorreta porque o termo Update Token não faz parte da especificação OAuth 2.0. O mecanismo padrão para obter um novo token de acesso sem reinteração do usuário é o Refresh Token.
O fluxo funciona assim: o cliente armazena o Refresh Token recebido junto com o token de acesso e, quando o token de acesso expira, envia esse refresh token ao authorization server para solicitar um novo token de acesso (às vezes também um novo refresh token).
Há cuidados de segurança: clientes confidenciais precisam autenticar-se para usar o refresh token; clientes públicos têm maior risco se o refresh token for roubado, mitigado por técnicas como rotacionamento de refresh tokens e DPoP. O refresh token também não deve conceder escopos além da concessão original.
Conteúdo do catálogo FC Concursos · Atualizado em