No OSWAP 2021 são citados 10 principais riscos de segurança de aplicativos da Web. Assinale a opção que indica o risco que trata sobre violação do princípio de privilégio mínimo ou negação por padrão, em que deve ser concedida permissão apenas para recursos, funções ou usuários específico.
- A)broken access control
Correta: broken access control trata justamente de falhas no controle de autorização e na aplicação do privilégio mínimo.
- B)security logging and monitoring failures
Errada: security logging and monitoring failures envolve falhas de registro e monitoramento de eventos, não de autorização.
- C)vulnerable and outdated components
Errada: vulnerable and outdated components fala de componentes desatualizados ou com vulnerabilidades conhecidas, não de controle de acesso.
- D)server-side request forgery
Errada: server-side request forgery é quando o servidor é induzido a fazer requisições indevidas, sem relação direta com privilégio mínimo.
- E)injection
Errada: injection é a injeção de dados maliciosos em comandos ou consultas, como SQL injection, e não falha de autorização.
Gabarito: A
O ponto central da questão é o controle de acesso. Quando falamos em princípio do privilégio mínimo, a ideia é simples: cada usuário, sistema ou função deve ter somente as permissões estritamente necessárias para fazer o que precisa, e mais nada. Se alguém ou algo recebe acesso além do necessário, o risco de abuso, erro ou invasão cresce bastante. No conjunto de riscos do OWASP Top 10 de 2021, isso aparece em falhas de controle de acesso, isto é, quando a aplicação não limita direito quem pode ver, alterar ou executar determinada ação. Em termos práticos, a aplicação deveria adotar negação por padrão: se não há permissão explícita, o acesso não deve ser liberado. Parece rígido, mas é exatamente essa rigidez que protege o sistema. Por isso o gabarito é a alternativa A, broken access control. Esse risco cobre situações como acesso a dados de outros usuários, escalada de privilégio e execução de funções sem autorização. É um tema muito cobrado porque, na prática, muita aplicação até autentica o usuário corretamente, mas falha ao autorizar o que ele pode fazer depois. Ou seja: entrou? Beleza. Mas pode fazer o quê? Aí mora o perigo. Como referência doutrinária, isso conversa diretamente com os princípios de segurança de autorização e com a lógica de segregação de funções. Em provas, sempre que a banca falar em privilégio mínimo, negação por padrão, acesso só ao que for necessário e autorização mal implementada, pense em falha de controle de acesso.