A analista Ana desenvolve a plataforma X, que deve ser capaz de
receber notificações de sistemas externos quando houver
mudança no status de determinados processos judiciais. Para
adicionar essa funcionalidade, Ana desenvolveu um webhook,
disponibilizando na plataforma um endpoint para receber as
notificações. A fim de aprimorar a segurança das notificações
recebidas, a analista implementou o mecanismo de validação que
é altamente empregado na indústria de TI em APIs reversas,
capaz de verificar tanto a integridade da notificação quando a
autenticidade do remetente a cada requisição recebida, com
baixo overhead.
No webhook de notificação da plataforma X, Ana implementou o
mecanismo de validação:

Question

A analista Ana desenvolve a plataforma X, que deve ser capaz de
receber notificações de sistemas externos quando houver
mudança no status de determinados processos judiciais. Para
adicionar essa funcionalidade, Ana desenvolveu um webhook,
disponibilizando na plataforma um endpoint para receber as
notificações. A fim de aprimorar a segurança das notificações
recebidas, a analista implementou o mecanismo de validação que
é altamente empregado na indústria de TI em APIs reversas,
capaz de verificar tanto a integridade da notificação quando a
autenticidade do remetente a cada requisição recebida, com
baixo overhead.
No webhook de notificação da plataforma X, Ana implementou o
mecanismo de validação: Alternativa A: Fernet; Ou Alternativa B: JSON Web Key; Ou Alternativa C: JSON Web Token; Ou Alternativa D: JSON Web Signature; Ou Alternativa E: Message Authentication Code.

Qconcursos · Accepted Answer

Alternativa [E] Message Authentication Code. Gabarito: EFundamento decisivo: A pista decisiva é a exigência de validar, a cada requisição do webhook, a integridade da notificação e a autenticidade do remetente com baixo overhead. Isso aponta para MAC como categoria funcional.Tema central: Autenticação de mensagensAnálise das alternativasAErradaFernet é um esquema de criptografia simétrica autenticada para proteger dados ou tokens. O enunciado cobra o mecanismo funcional de validação de mensagens em webhook por requisição, não um esquema específico de proteção de dados.BErradaJSON Web Key é um formato de representação de chaves em JSON, e não o mecanismo que verifica integridade e autenticidade da notificação.CErradaJSON Web Token é um formato de token para transportar claims. Ainda que possa vir protegido criptograficamente, não é, por si só, o mecanismo conceitual de autenticação de mensagem descrito no enunciado.DErradaJSON Web Signature é um padrão específico para assinar objetos JSON/JOSE. A questão não pediu um padrão JSON específico, mas o mecanismo genérico típico de webhook com segredo compartilhado e baixo overhead, que é MAC.ECertaMessage Authentication Code é o mecanismo criptográfico usado para autenticar uma mensagem com base em segredo compartilhado, permitindo ao destinatário confirmar a integridade do conteúdo e a autenticidade da origem. Isso coincide com o cenário descrito para webhooks/APIs. Por isso, a alternativa E é a que corresponde ao mecanismo pedido.Pegadinha da questãoA confusão explorada foi entre mecanismo criptográfico de autenticação de mensagem e formatos/padrões relacionados a JSON e tokens, como JWK, JWT e JWS.Dica para questões semelhantesSe a descrição falar em verificar integridade da mensagem e autenticidade da origem a cada requisição com segredo compartilhado, pense em MAC como categoria.Separe mecanismo criptográfico daquilo que é apenas formato, contêiner ou representação: JWK representa chave, JWT é token e JWS é padrão de assinatura.Em webhook/API reversa, baixo overhead por requisição favorece validação por MAC/HMAC, não soluções mais pesadas ou padrões não exigidos pelo enunciado.

🚀 Mais performance?

🚀 Mais performance?

A analista Ana desenvolve a plataforma X, que deve ser capaz...

Gabarito comentado

Gabarito: E

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas