A aplicação Web SiCONTA viabiliza a recuperação de credenciais de acesso por meio da conferência de respostas previamente cadastradas pelo usuário a questionamentos realizados a ele no processo de criação da credencial. Considerando a metodologia Open Web Application Security Project (OWASP), a aplicação Web SiCONTA possui uma vulnerabilidade classificada na categoria:
- A)Broken Access Control;
Errada, porque controle de acesso quebrado trata de permissões indevidas após o usuário já ter sido identificado, e aqui o problema está antes disso, na recuperação da credencial.
- B)Insecure Identification;
Errada, porque identificação insegura não é a categoria mais adequada para esse caso específico, já que o foco da falha está na verificação da autenticidade do usuário por meio das respostas.
- C)Security Misconfiguration;
Errada, porque security misconfiguration envolve erro de configuração do ambiente ou da aplicação, e não o desenho do mecanismo de recuperação de acesso.
- D)Insecure Design and Implementation;
Errada, porque o enunciado não fala de um desenho arquitetural ruim em sentido amplo, mas de uma falha concreta no processo de autenticação para recuperar credenciais.
- E)Identification and Authentication Failures.
Certa, porque a recuperação de acesso depende da validação da identidade do usuário por respostas cadastradas, o que é uma falha de identificação e autenticação quando o mecanismo é frágil.
Gabarito: E
A ideia central aqui é simples: quando uma aplicação permite recuperar credenciais de acesso apenas conferindo respostas a perguntas de segurança cadastradas pelo próprio usuário, ela está lidando com o processo de identificação e autenticação do usuário. Se esse mecanismo for fraco, previsível ou facilmente burlável, a falha fica justamente na forma como a aplicação verifica quem é quem. No vocabulário do OWASP, isso cai em falhas de Identification and Authentication. Em termos práticos, o problema não é o usuário ter acesso a uma área a mais, nem a configuração do servidor estar desarrumada. O problema é o método usado para confirmar a identidade antes de liberar a recuperação da conta. Por isso o gabarito é a letra E. Perguntas de segurança, respostas cadastrais e recuperação de senha são mecanismos clássicos de autenticação. Se a aplicação confia demais neles, abre espaço para adivinhação, engenharia social ou informações vazadas, o que compromete a autenticação do usuário. A banca costuma explorar exatamente esse ponto: ela descreve um recurso de login, reset ou recuperação de credenciais e quer que você associe a vulnerabilidade ao bloco de autenticação, não a um defeito genérico do sistema. Pense assim: se o sistema erra em descobrir quem é você, o problema é de identificação e autenticação, não de acesso ou configuração.