Gabarito disponível
Texto-base:
Julgue os seguintes itens, relativos a CSRF (cross-site request forgery), testes de invasão e segurança de aplicativos web.
Aplicações web que não implementam corretamente mecanismos de controle de sessão, como expiração de tokens e invalidação de sessões inativas, tornam-se vulneráveis a sequestro de sessão (session hijacking), mesmo que utilizem HTTPS.
Julgue os seguintes itens, relativos a CSRF (cross-site request forgery), testes de invasão e segurança de aplicativos web.
Aplicações web que não implementam corretamente mecanismos de controle de sessão, como expiração de tokens e invalidação de sessões inativas, tornam-se vulneráveis a sequestro de sessão (session hijacking), mesmo que utilizem HTTPS.
Resolução comentada
Controle de sessão falho permite sequestro de sessão mesmo com HTTPS.
O HTTPS protege o transporte, mas não corrige falhas de gerenciamento de sessão, como tokens sem expiração ou sessões inativas não invalidadas. Esses defeitos permitem o sequestro de sessão, por exemplo com token roubado por XSS ou malware.
Análise das alternativas
Certo: correta, pois HTTPS não substitui o controle de sessão. Errado: incorreta, pois supõe que HTTPS basta.
Referência: OWASP – Session Management Cheat Sheet
Resolução comentada do VaiConcursos.