Questão de Segurança da Informação · FCC TRT15 2023 (nº 49)

O OAuth 2.0 é um protocolo de autorização que permite a um aplicativo (como um app de celular) acessar informações de um usuário em outro serviço (como o Google ou Facebook), sem que o aplicativo precise saber a senha do usuário. Ele define quatro papéis principais que interagem nesse processo.

• (A) Incorreta: "Owner Role" não é um papel padrão do OAuth 2.0. O papel correto é Resource Owner, que é a pessoa (o usuário) que possui os dados e concede o acesso, não uma aplicação.
• (B) Incorreta: O Client é a aplicação que deseja acessar os dados do usuário (por exemplo, o aplicativo de fotos). A "pessoa (entidade) que concede o acesso aos dados" é o Resource Owner (o usuário), não o Client.
• (C) Incorreta: O Authorization Server é quem autentica o usuário e emite o token de acesso. A "API exposta na internet e que contém os dados do usuário" é o Resource Server. A armadilha aqui é que a banca mistura a função do Authorization Server com a do Resource Server, que são entidades distintas com responsabilidades diferentes. O Authorization Server lida com a autorização (emissão de tokens), enquanto o Resource Server lida com os recursos (os dados protegidos).
• (D) Correta: O Resource Server é o servidor que hospeda os recursos protegidos (os dados do usuário) e é capaz de aceitar e responder a requisições de recursos protegidos usando os tokens de acesso. Ele é, de fato, a API que contém os dados do usuário.
• (E) Incorreta: O Authorization Server é quem emite o token de acesso após a autorização do usuário. A "pessoa (entidade) que concede o acesso aos dados" é o Resource Owner (o usuário), não o Authorization Server.