FC ConcursosFC Concursos

Questão FC375684

Em aplicações, WEB é uma prática comum a utilização de sessões para realizar o armazenamento do estado de uma aplicação; porém, geralmente, esse recurso realiza o procedimento no s

Questões sem classificação de assunto (TI - Segurança da Informação)

Instituto Consulplan · 2024

Em aplicações, WEB é uma prática comum a utilização de sessões para realizar o armazenamento do estado de uma aplicação; porém, geralmente, esse recurso realiza o procedimento no servidor web da aplicação e não no próprio navegador do usuário, como ocorre quando se utilizam os cookies. Um exemplo prático da utilização desse recurso em uma aplicação dessa natureza pode ser o armazenamento de dados sensíveis como usuário e e-mail em uma rotina de autenticação. Apesar das sessões utilizarem o servidor para a sua operacionalização, existem vulnerabilidades no mecanismo que podem ser exploradas pelos hackers para promover a quebra do gerenciamento da sessão de uma aplicação. Analise as afirmativas a seguir sobre práticas seguras para o gerenciamento de sessões.

 

I. Gerar um novo identificador de sessão quando houver uma nova autenticação.

 

II. Configurar o atributo “secure” para cookies transmitidos através de uma conexão TLS.

 

III. Configurar os cookies com o atributo “HttpOnly”, a menos que seja explicitamente necessário ler ou definir os valores dos mesmos através de scripts do lado cliente da aplicação.

 

Está correto o que se afirma em

  1. I, II e III.
  2. I e II, apenas.
  3. I e III, apenas.
  4. II e III, apenas.
Mostrar resposta e comentário

Gabarito

A

Comentário do professor

As afirmativas I, II e III representam práticas essenciais de segurança no gerenciamento de sessões em aplicações web.


I. Gerar um novo identificador de sessão após a autenticação evita ataques de Session Fixation e reduz o risco de um invasor reutilizar um ID já conhecido; isso garante que a sessão autenticada não herde um identificador possivelmente comprometido.


II. Configurar o atributo secure em cookies faz com que sejam transmitidos somente por conexões protegidas por TLS (HTTPS), impedindo o envio por HTTP e reduzindo a possibilidade de interceptação por ataques MITM.


III. Usar o atributo HttpOnly impede que scripts do lado cliente (JavaScript) leiam os cookies, mitigando o roubo de sessão via XSS. Só permita acesso por script quando realmente necessário, avaliando riscos alternativos.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo