Controles e testes de segurança para aplicações Web e Web Services

Segurança de aplicações web e de Web Services aparece com frequência em concursos de Segurança da Informação. As bancas costumam cobrar duas coisas: o que fazer em cada caso e por que um controle isolado não resolve o problema. Abaixo, quatro pontos centrais.

1. Controle de acesso só é confiável no servidor

A quebra de controle de acesso subiu para o primeiro lugar do OWASP Top 10:2021, o que a torna um dos temas mais cobrados. A ideia central é que o usuário não pode agir além das suas permissões, e a verificação precisa acontecer onde o atacante não consegue mexer: no código do servidor.

Algumas regras que a prova explora:

• Negar por padrão (deny by default). Só é liberado o que for público ou expressamente permitido.
• Verificar a propriedade do registro. Um usuário só acessa o dado que lhe pertence, mesmo que informe outro identificador na URL.
• Aplicar a regra uma única vez e reutilizá-la em toda a aplicação.
• Em sessões com estado, invalidar o identificador no servidor após o logout.
• Em JWT sem estado, usar vida curta. Para JWT de vida longa, seguir os padrões OAuth de revogação.

⚠️ Pegadinha: ocultar um botão na tela não é controle de acesso. A verificação precisa existir no servidor, porque o atacante pode enviar a requisição diretamente.

🧠 Memorize: negue por padrão, verifique no servidor, registre e limite (deny by default, servidor, logs, rate limit).

2. Senhas exigem hash lento, com salt e fator de trabalho

Na categoria de falhas criptográficas, a banca gosta de testar o armazenamento de senhas. Hash rápido, mesmo com salt, pode ser quebrado por placas de vídeo com grande poder de processamento.

• Errado: MD5 ou SHA1 puros, sem salt, ou hash rápido de uso geral.
• Certo: funções adaptativas, com salt e fator de trabalho, como Argon2, scrypt, bcrypt ou PBKDF2.

Outro ponto que costuma aparecer: em modos de operação que usam nonce, o IV não precisa vir de um gerador criptograficamente seguro. Mesmo assim, ele nunca pode ser reutilizado com a mesma chave.

📌 Cai muito: senha com hash adaptativo, salt e fator de trabalho. Hash sem salt e hash rápido são as respostas erradas.

3. Injeção: separe dados de comandos

A injeção ficou em terceiro lugar no OWASP e cobre SQL, comandos de sistema operacional, LDAP, ORM e outros interpretadores. O princípio é um só: os dados enviados pelo usuário não podem ser interpretados como parte do comando.

A ordem de preferência é a mesma em quase todas as questões:

1. API segura ou consulta parametrizada, que evita o interpretador.
2. Validação positiva de entrada no servidor, como camada complementar.
3. Escape de caracteres, apenas para o que ainda for dinâmico.

A validação de entrada não é defesa completa, porque muitas aplicações precisam aceitar caracteres especiais. Nomes de tabelas e colunas não podem ser escapados, então, quando vierem do usuário, são um risco à parte.

💡 Dica: se a pergunta pede a melhor forma de detectar injeção, a resposta é a revisão de código-fonte. Se pede detecção antes da produção, pense em ferramentas SAST, DAST e IAST no pipeline CI/CD.

4. Web Services precisam proteger a própria mensagem

Em Web Services baseados em XML e SOAP, o perímetro da rede não basta. As trocas são dinâmicas, passam por intermediários e o HTTP atravessa a maioria dos firewalls sem restrição.

O TLS protege a conexão entre dois pontos, mas não a mensagem em si. Quando há intermediários, a mensagem precisa ser protegida como documento. Por isso, a prova compara:

• TLS: criptografa e autentica o canal entre dois endpoints.
• XML Encryption: garante confidencialidade do documento XML.
• XML Signature: garante integridade, assinando seletivamente os dados.
• WS-Security: extensões de cabeçalho SOAP para troca de mensagens assinadas e criptografadas ponta a ponta.

⚠️ Pegadinha: TLS sozinho não resolve a segurança de SOAP com intermediários. A proteção precisa acompanhar a mensagem.

Continue estudando

A aula completa deste tema, com os mapas mentais e os flashcards com repetição espaçada, está disponível no plano do MemorizeCards. Você pode ver os planos ou ver o catálogo para escolher o formato ideal para a sua rotina de estudos.