<!DOCTYPE html>
<html lang="pt-BR">
<head>
 <meta charset="UTF-8">
 <style>
 body {
 font-size: 16px;
 line-height: 1.5;
 }
 .blue {
 color: blue;
 }
 p {
 margin-top: 0;
 }
 </style>
</head>
<body>
 A questão trata do gerenciamento e da segurança em torno da criação e gestão de senhas dos usuários em uma organização. A gestão de senhas é vital para manter a segurança das informações e deve seguir boas práticas e normas estabelecidas em segurança da informação. Vamos analisar as afirmativas:
 

 I. Correta: A prática de fazer com que os usuários assinem declarações para manter a confidencialidade de suas senhas é uma estratégia recomendada para conscientizar os usuários sobre a importância da segurança de suas credenciais. Isso reforça as responsabilidades pessoais em relação à segurança da informação e é normalmente integrado aos termos e condições de trabalho, alinhando-se às melhores práticas de segurança da informação, como sugerido pela norma ISO/IEC 27002.
 

 II. Correta: Fornecer senhas seguras e temporárias que obrigam o usuário a alterá-las no primeiro acesso ajuda a garantir que mesmo se a senha temporária for interceptada, ela será de curta duração. Essa prática minimiza os riscos associados ao processo inicial de criação de conta e está alinhada com as recomendações das normas de segurança da informação para o tratamento de credenciais iniciais.
 

 III. Correta: O procedimento de verificação da identidade de um usuário antes de emitir uma nova senha ou senha temporária é crucial para evitar o acesso não autorizado. A verificação de identidade protege contra ataques onde indivíduos tentam obter acesso às contas de outros usuários através da manipulação dos processos de recuperação ou de alteração de senha.
 

 IV. Errada: O armazenamento de senhas de maneira desprotegida nos sistemas é uma prática altamente insegura e contraria princípios básicos de segurança da informação. As senhas devem, idealmente, ser armazenadas usando técnicas de hashing e nunca devem ser acessíveis em texto claro para garantir proteção contra vazamentos e acessos indevidos.
 

 Portanto, a alternativa correta é D.
</body>
</html>

<!DOCTYPE html>
<html lang="pt-BR">
<head>
 <meta charset="UTF-8">
 <style>
 body {
 font-size: 16px;
 line-height: 1.5;
 }
 .blue {
 color: blue;
 }
 math {
 font-size: 16px;
 }
 </style>
</head>
<body>
 A questão da Fundação Carlos Chagas envolve práticas de segurança em autenticação e gerenciamento de sessões em aplicações web. Vamos analisar cada afirmativa para determinar quais são corretas:
 

 I) Não aceite novos identificadores de sessão pré-configurados ou inválidos na URL ou em requisições. Isto é chamado de ataque de sessão fixada. Use somente mecanismos padrão para gerência de sessão. Não escreva ou use gerenciadores secundários de sessão em qualquer situação.
 Esta afirmativa é correta porque alerta sobre os riscos associados aos ataques de fixação de sessões, que acontecem quando um atacante impõe um ID de sessão a um usuário, podendo depois usar esse mesmo ID para sequestrar a sessão após o login do usuário. Utilizar mecanismos padrão de gerência de sessão é uma prática recomendada para prevenir tais tipos de ataques.
 
 
 II) Mantenha no código os cookies personalizados com propósito de autenticação de gerência de sessão, como funções ‘lembrar do meu usuário’.
 Esta afirmativa é incorreta. Armazenar cookies diretamente no código pode resultar em vulnerabilidades de segurança, como a captura de cookies que podem levar a ataques de roubo de sessão. Portanto, essa prática não é recomendada para uma gestão segura de sessões.
 

 III) Use períodos de expiração de prazo que automaticamente geram logout em sessões inativas, bem como o conteúdo das informações que estão sendo protegidas.
 Esta afirmativa é correta. Definir um tempo de expiração para sessões inativas é uma boa prática de segurança. Isso minimiza a janela de oportunidade para que um atacante possa utilizar uma sessão abandonada para ganhar acesso não autorizado.
 

 IV) Assegure-se que todas as páginas tenham um link de logout. O logout não deve destruir as sessões nem cookies de sessão.
 Esta afirmativa é incorreta. O processo de logout deve, idealmente, terminar a sessão e destruir os cookies relacionados à sessão para prevenir ataques de reutilização de sessão. Manter os cookies após o logout pode permitir que um atacante continue usando a sessão se tiver acesso aos cookies.
 

 V) Use somente funções de proteção secundárias eficientes (perguntas e respostas, reset de senha), pois estas credenciais são como senhas, nomes de usuários e tokens. Aplique one-way hash nas respostas para prevenir ataques nos quais a informação pode ser descoberta.
 Esta afirmativa é correta. Usar hash unidirecional para proteger respostas de segurança e senhas é uma prática recomendada, pois mesmo que esses dados sejam expostos, o hash não pode ser revertido facilmente para revelar a informação original.
 

 Portanto, a alternativa correta é E.
</body>
</html>

Questões de Fundação Carlos Chagas - Tecnologia da Informação - Autenticação, autorização e controle de acesso - Médio