Considere que determinada empresa tenha imposto a implementação de uma política na qual os usuários não pudessem agir fora das permissões pretendidas. Nesse caso, se essa política for violada, a vulnerabilidade associada a essa violação será denominada
- A)quebra de controle de acesso.
Correta: descreve a violação de permissões e, portanto, uma falha de controle de acesso.
- B)falsificação de solicitação no servidor.
Errada: falsificação de solicitação no servidor trata de abuso em requisições, não da ultrapassagem de permissões.
- C)projeto/desenho inseguro.
Errada: projeto/desenho inseguro é uma categoria mais ampla de falhas de arquitetura, mas o enunciado aponta especificamente para autorização.
- D)componentes vulneráveis e desatualizados.
Errada: componentes vulneráveis e desatualizados se referem a software sem correções, e não a quebra da política de acesso.
- E)falhas de identificação e autenticação.
Errada: falhas de identificação e autenticação dizem respeito a provar quem o usuário é, não ao que ele pode fazer.
Gabarito: A
Aqui a ideia central é simples: quando uma política exige que o usuário só faça o que foi permitido, estamos falando de controle de acesso. Se essa regra falha, a vulnerabilidade não é de senha fraca nem de sistema velho, mas de permissão sendo ultrapassada. Em segurança da informação, isso se encaixa na quebra de controle de acesso, porque o sistema deixa alguém agir além do que deveria. É como se a porta estivesse aberta para quem só tinha autorização para olhar pela janela. Esse tipo de falha aparece muito ligada ao princípio do menor privilégio, que diz que cada usuário deve ter apenas as permissões estritamente necessárias. Quando esse princípio é violado, o risco é justamente o acesso indevido a funções, dados ou ações que deveriam ficar bloqueadas. Em termos práticos, a política foi feita para conter a atuação do usuário, e a vulnerabilidade nasce quando esse limite não funciona. A banca costuma cobrar isso misturando nomes de categorias de vulnerabilidades muito próximas. Mas aqui o enunciado foi bem direto: agir fora das permissões pretendidas é sinônimo de falha de autorização, isto é, quebra de controle de acesso. Não é uma questão de autenticação, porque o problema não é descobrir quem é o usuário, e sim o que ele pode ou não pode fazer depois de identificado. Então o gabarito A está correto porque a violação descrita atinge exatamente o mecanismo que limita ações por permissão. Se a política impede esse comportamento e ele acontece mesmo assim, houve quebra de controle de acesso.