Questão FC483586
Julgue o seguinte item, relativos a CSRF (cross-site request forgery), testes de invasão e segurança de aplicativos web. Aplicações web que não implementam corretamente mecanismos
Ameaças aos Sistemas Computacionais
CEBRASPE (CESPE) · 2025
Julgue o seguinte item, relativos a CSRF (cross-site request forgery), testes de invasão e segurança de aplicativos web.
Aplicações web que não implementam corretamente mecanismos de controle de sessão, como expiração de tokens e invalidação de sessões inativas, tornam-se vulneráveis a sequestro de sessão (session hijacking), mesmo que utilizem HTTPS.
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
A afirmação é CERTO porque HTTPS protege apenas a confidencialidade e integridade dos dados em trânsito; não elimina falhas na gestão de sessão no cliente ou no servidor.
Se uma aplicação não aplica expiração adequada de tokens e não procede à invalidação de sessões inativas, um token comprometido pode ser reutilizado por um atacante durante um longo período, permitindo o chamado session hijacking.
Vazamentos podem ocorrer por XSS, dispositivos comprometidos, logs ou ataques de fixation. Sem atributos de cookie como HttpOnly, Secure e SameSite e sem renovação/invalidação, o risco persiste mesmo com HTTPS.
Em testes de invasão convém verificar tempo de vida dos tokens, logout forçado, rotação de sessão, flags de cookie e tratamento de sessões inativas para mitigar o sequestro.
Conteúdo do catálogo FC Concursos · Atualizado em