O API Security Top 10 da Open Worldwide Application Security Project (OWASP) foi projetado para ajudar os desenvolvedores a entender e lidar com os riscos de segurança mais comuns associados às APIs. Relacione os vetores de ataque da OWASP com a explicação do cenário de ameaças de API relacionado a vulnerabilidade menciona na lista de 2023: 1. Broken Authentication 2. Broken Function Level Authorization 3. Improper Inventory Management 4. Server Side Request Forgery ( ) Invasores podem obter acesso aos recursos e/ou funções administrativas de outros usuários ao explorarem políticas complexas de controle de acesso com diferentes hierarquias, grupos e papéis, bem como sistemas com pouco clara separação entre funções administrativas e regulares. ( ) Falha explorada quando uma API está buscando um recurso remoto sem validar o URI fornecido pelo usuário, resultando em uma falsificação de solicitação permitindo que um invasor force a aplicação a enviar uma solicitação criada para um destino inesperado, mesmo quando protegido por um firewall ou VPN. ( ) Implementações incorretas podem comprometem a capacidade de um sistema de identificar o cliente/usuário, permitindo que os invasores comprometam os tokens de autenticação ou explorem falhas de implementação para assumir as identidades de outros usuários temporária ou permanentemente. ( ) Acessos não autorizados podem ser prevenidos ao focar a segurança na importância de rastrear e gerenciar as superfícies de ataque da organização, em especial realizando o manejo adequado de hosts e manutenção do versionamento atualizado de API implantadas. Assinale a opção que indica a relação correta, na ordem apresentada.
- A)3 – 4 – 2 – 1.
Errada, porque troca a ordem dos vetores e confunde Broken Authentication com outros riscos de autorização e inventário.
- B)4 – 2 – 3 – 1.
Errada, porque coloca SSRF onde deveria estar Broken Function Level Authorization e embaralha os demais conceitos.
- C)2 – 4 – 1 – 3.
Certa, pois relaciona corretamente função administrativa, SSRF, autenticação quebrada e inventário inadequado na ordem dada.
- D)1 – 3 – 4 – 2.
Errada, porque associa o primeiro cenário a Broken Authentication, quando ele descreve falha de autorização por nível de função.
- E)3 – 1 – 2 – 4.
Errada, porque inverte os dois primeiros e ainda desloca o problema de inventário para a posição indevida.
Gabarito: C
O OWASP API Security Top 10 2023 organiza os riscos mais comuns em APIs, e aqui a ideia principal é identificar o nome do problema pelo cenário descrito. Em prova, a banca gosta de trocar a roupa do vilão: às vezes fala em acesso a funções administrativas, às vezes em URL fornecida pelo usuário, às vezes em token roubado. O segredo é olhar o efeito prático do ataque. No primeiro item, a pista é bem típica de Broken Function Level Authorization: o invasor consegue alcançar funções ou recursos de outros usuários porque a autorização por função está falha, especialmente em cenários com papéis, grupos e hierarquias mal controlados. No segundo, o enunciado descreve claramente Server Side Request Forgery, porque a API faz requisição a um recurso remoto usando um URI não validado pelo usuário, podendo atingir destinos internos mesmo atrás de firewall ou VPN. O terceiro item fala de quebra na identificação/autenticação do cliente ou usuário, com comprometimento de tokens e sequestro de identidade. Isso é Broken Authentication. Já o quarto trata de gerenciar corretamente superfícies de ataque, hosts e versionamento de APIs implantadas. Isso é Improper Inventory Management, isto é, falha em saber exatamente o que existe e está exposto. Por isso, a sequência correta é 2 - 4 - 1 - 3, que corresponde à alternativa C. Se você decorar esses nomes com seus sintomas clássicos, metade da prova já perde a graça para a banca.