Questão nº 66
Questão de Informática · FGV TJTO 2022 (nº 66)
Um Time de Tecnologia da Informação (TTI) de um tribunal de justiça recebeu a demanda de disponibilizar o acesso a algumas partes do Sistema Web de Acompanhamento de Processos (SAProc) por meio de um aplicativo para dispositivos móveis.
Somente usuários internos, que já possuam acesso ao sistema Web SAProc, poderão utilizar o novo aplicativo. Atualmente, o SAProc utiliza o protocolo OAuth2 como framework de autorização entre a aplicação web que atua no front-end e a API RESTFul que atua no back-end.
Em função da premissa de uso do OAuth2 pelo novo aplicativo, o TTI deverá:
- Aaplicar Refresh Tokens não expiráveis;
- Bfazer uso de Access Tokens para acesso a API RESTful; (alternativa correta)
- Cconsiderar o Resource Owner como hospedeiro da API RESTful;
- Dutilizar um Token Endpoint para armazenar os autorizações de acesso;
- Econfigurar o Resource Server como o responsável por gerar autorizações de acesso a API RESTful.
Resposta comentada
Gabarito Alternativa B
OAuth2 é como um porteiro inteligente que permite a um aplicativo (o "cliente") acessar informações de um usuário (o "dono do recurso") em outro serviço (o "servidor de recurso"), sem que o aplicativo precise saber a senha do usuário, usando "tokens" como chaves temporárias.
- (A) Incorreta: Refresh Tokens não expiráveis são uma falha de segurança grave, pois um token comprometido daria acesso permanente.
- (B) Correta: Access Tokens são as credenciais que o aplicativo móvel usará para fazer requisições autorizadas à API RESTful, sendo o principal mecanismo de acesso no OAuth2.
- (C) Incorreta: O Resource Owner é o usuário que possui os dados, enquanto a API RESTful é o Resource Server, que hospeda os recursos protegidos.
- (D) Incorreta: O Token Endpoint é um ponto de troca para obter tokens, não um local para armazenar autorizações de acesso.
- (E) Incorreta: O Resource Server valida os Access Tokens e serve os recursos; a geração de autorizações e tokens é responsabilidade do Authorization Server.
Fonte: FGV TJTO 2022 Técnico Judiciário - Informática (Caderno Tipo 1). Reproduzida para fins de estudo.