O tipo de falha de segurança mais comum nos aplicativos web são as falhas de validação na entrada de dados. Essa vulnerabilidade abre a possibilidade de ocorrem diversos tipos de ataques. Com relação aos requisitos de segurança que um aplicativo web devem adotar, analise os itens a seguir. I. A validação dos dados de entrada e codificação dos dados de saída nas aplicações web deve ser bem definida para evitar ataques do tipo injeção. II. Os dados de entrada devem ser fortemente tipados e validados, devem ter intervalo e comprimento verificados e, na pior das hipóteses devem ser higienizados ou filtrados. III. Os dados de saída dever ser criptografados em infraestruturas de PKI e armazenados em bancos de dados seguros, tornandose pouco disponíveis para maus usos. Está correto o que se afirma em
- A)II e III, apenas.
Errada, porque o item III está incorreto ao tratar criptografia/PKI como requisito de saída de dados em vez de focar na proteção contra falhas de validação.
- B)I e III, apenas.
Errada, porque o item III não descreve corretamente um requisito de segurança web nesse contexto.
- C)I e II, apenas.
Certa, porque os itens I e II estão corretos e refletem boas práticas de validação de entrada e codificação de saída.
- D)III, apenas.
Errada, porque o item III está incorreto e não pode ser o único afirmado como verdadeiro.
- E)II, apenas.
Errada, porque o item I também está correto, então não é apenas o item II.
Gabarito: C
Em segurança de aplicações web, quase tudo começa no básico bem feito: validar o que entra e controlar o que sai. Se a aplicação recebe dados sem checagem, ela fica aberta para ataques clássicos como SQL Injection, Command Injection e Cross-Site Scripting. Por isso, a combinação de validação de entrada com codificação de saída é uma das primeiras linhas de defesa. Parece simples, mas é justamente aí que muita aplicação “escorrega no sabonete”. O item I está correto porque a validação dos dados de entrada e a codificação dos dados de saída ajudam a impedir que o conteúdo malicioso seja interpretado como comando, consulta ou código. Em outras palavras, a aplicação não deve confiar cegamente no que o usuário manda. O item II também está correto. A boa prática é trabalhar com dados fortemente tipados, validar formato, tamanho, faixa de valores e, quando necessário, higienizar ou filtrar entradas. Isso segue o princípio de validação no lado do servidor, muito cobrado em segurança de software e alinhado com recomendações conhecidas da OWASP, como o cuidado com input validation e output encoding. Já o item III está errado porque criptografar dados de saída em infraestrutura de PKI e armazená-los em banco seguro não é requisito geral de proteção contra falhas de entrada. PKI é um conjunto de mecanismos de chave pública, mais ligado a certificados, autenticação e confidencialidade em trânsito, não a uma regra de segurança para “dados de saída” como o enunciado sugere. Por isso, a alternativa correta é a que traz apenas I e II.