Question

Em uma API corporativa, usuários autenticados recebem um token válido após login com múltiplos fatores. Durante testes de segurança, verificou-se que um usuário comum, ao alterar manualmente o identificador de um recurso na URL, consegue consultar dados de outro setor, embora permaneça autenticado com sessão válida. Conforme o caso, a alternativa que apresenta uma solução para o problema descrito é: 15

Accepted Answer

D) Implementar validação de autorização no servidor para cada recurso e endpoint acessado, com aplicação consistente de menor privilégio e checagem de vínculo do usuário com o objeto solicitado.

Answer

A) Aumentar o tempo de expiração do token, para reduzir a necessidade de nova autenticação e evitar reprocessamento de permissões.

Answer

B) Reforçar o mecanismo de autenticação e manter a autorização centralizada apenas na tela inicial do sistema, pois o token já identifica o usuário.

Answer

C) Exigir nova autenticação multifator a cada requisição, dispensando verificações de autorização no endpoint solicitado.

Answer

E) Substituir identificadores numéricos por UUIDs, eliminando a necessidade de controle de acesso em nível de objeto.

Mais questões de Controle de acesso e autenticação