A respeito de OpenId Connect, julgue o item subsequente. Uma das vulnerabilidades do OpenID Connect é o uso de tokens não assinados para transportar atributos pessoais do usuário f

Gabarito

Errado

Comentário do professor

A afirmação foi julgada ERRADO porque o padrão OpenID Connect exige que o ID Token seja protegido por assinatura (JSON Web Signature - JWS); a especificação também recomenda transporte seguro via TLS. Assim, o uso de tokens não assinados não é uma prática do protocolo, mas sim uma falha de implementação.

Vulnerabilidades reais ocorrem quando um provedor ou cliente não valida assinaturas, aceita o parâmetro alg=none, falha em checar o nonce ou o aud, ou transmite tokens sem TLS. Essas falhas permitem forjamento, replay ou roubo de atributos, mas não configuram comportamento intrínseco do OpenID Connect.

Portanto, afirmar que o uso de tokens não assinados é uma vulnerabilidade do próprio OpenID Connect confunde especificação com más implementações.