Gabarito disponível
Texto-base:
O XYZ Digital, sistema nacional de agendamento de serviços públicos, acessado via desktop e dispositivos móveis, que exige autenticação de cidadãos para solicitação de documentos e consultas, passou por auditoria de segurança após tentativas de acesso indevido e um incidente de autenticação indevida. Após o incidente, constatou-se a utilização de single sign-on (SSO – autenticação única), tendo sido providenciadas a autenticação forte com multifator (MFA) e a implementação de OpenID Connect.
A partir do caso hipotético precedente, julgue os itens subsequentes.
O uso de SSO pode representar um risco à segurança se não for acompanhado por mecanismos adicionais de segurança, como logout global e MFA.
O XYZ Digital, sistema nacional de agendamento de serviços públicos, acessado via desktop e dispositivos móveis, que exige autenticação de cidadãos para solicitação de documentos e consultas, passou por auditoria de segurança após tentativas de acesso indevido e um incidente de autenticação indevida. Após o incidente, constatou-se a utilização de single sign-on (SSO – autenticação única), tendo sido providenciadas a autenticação forte com multifator (MFA) e a implementação de OpenID Connect.
A partir do caso hipotético precedente, julgue os itens subsequentes.
O uso de SSO pode representar um risco à segurança se não for acompanhado por mecanismos adicionais de segurança, como logout global e MFA.
Resolução comentada
SSO sem logout global e MFA amplia o risco, pois uma credencial comprometida dá acesso a vários sistemas.
No SSO, uma única autenticação dá acesso a vários serviços. Se a credencial ou a sessão for comprometida, o atacante acessa todos eles. Por isso o SSO deve vir com MFA, logout global (encerramento das sessões em todos os serviços) e controle de expiração de sessão.
Análise das alternativas
Certo: está correta, pois o SSO concentra o risco num único ponto de falha. Errado: o SSO não é seguro por si só e depende desses controles complementares.
Referência: Boas práticas de gestão de identidade e acesso (SSO/MFA).
Resolução comentada do VaiConcursos.