Questão de Tecnologia da Informação · FGV MP-SC 2022 (nº 78)

Conceito-chave: Autenticação HTTP Basic é o esquema mais simples: o cliente envia Authorization: Basic <base64(usuario:senha)>. O Base64 não é criptografia, é só codificação — qualquer um pode decodificar facilmente, por isso só é seguro sobre HTTPS.

• (A) Incorreta: Digest usa hash (MD5) do usuário, senha, realm e nonce, e não envia a senha em Base64 no cabeçalho — exige desafio do servidor.
• (B) Incorreta: Bearer Token usa um token (geralmente JWT) no cabeçalho Authorization: Bearer <token>, não usuário/senha codificados em Base64.
• (C) Incorreta: Hawk é um esquema de autenticação baseado em MAC (código de autenticação de mensagem) para APIs, não usa Base64 de credenciais.
• (D) Incorreta: OAuth 1.0 usa assinaturas criptográficas e tokens, com parâmetros no cabeçalho ou query string, não usuário/senha em Base64.
• (E) Correta: Basic é exatamente o que a questão descreve: Authorization: Basic <base64(usuario:senha)> — o formato padrão da RFC 7617, sem qualquer proteção adicional além da codificação.

Armadilha da banca (distrator mais tentador): a letra A (Digest) parece correta porque muitos confundem "codificado em Base64" com "proteção por hash". O Digest também protege a senha, mas usa hash com desafio (nonce), não envia usuário/senha em Base64 no cabeçalho. A pegadinha está em associar "codificação" a "segurança" — o Basic é o único que manda credenciais em Base64 puro.