Controle de acesso e autenticação
3 min de leituraPodcast13 questões
Cai no edital de Agente PF, Escrivão PF, Papiloscopista PF, Detran, Detran-PR, Detran-DF
Para revisar
Resumo
Essência. Controle de acesso garante que só quem está autorizado use cada recurso, e só no limite autorizado. Etapas (modelo AAA + identificação):
- Identificação: o usuário declara quem é (login, crachá, CPF).
- Autenticação: prova que é ele mesmo.
- Autorização: define o que ele pode fazer (permissões).
- Auditoria/contabilização (accounting): registra o que fez (logs), permitindo responsabilização.
Fatores de autenticação
- Algo que você sabe: senha, PIN, resposta secreta.
- Algo que você tem: token, celular com app autenticador, cartão inteligente, certificado em token.
- Algo que você é: biometria (digital, face, íris, voz).
- (Alguns autores incluem onde você está e como você age.)
MFA (autenticação multifator) combina fatores de categorias diferentes. Senha + PIN não é MFA (ambos "sabe"); senha + código do app é.
Modelos de controle
- DAC (discricionário): o dono do recurso decide quem acessa (permissões de arquivo).
- MAC (obrigatório): o sistema impõe regras por rótulos de classificação (sigiloso, secreto) e credenciamento; usuário não altera.
- RBAC (baseado em papéis): permissões ligadas a funções/cargos (escrivão, delegado).
- ABAC (baseado em atributos): regras com atributos do usuário, do recurso e do contexto (horário, local).
Pegadinha Cebraspe. "Autenticação e autorização são sinônimos" → errado: autenticação confirma quem é; autorização define o que pode fazer.
Visão geral
Complementa info-seguranca-principios (CID, autenticidade, não repúdio) e info-ferramentas-de-seguranca (MFA como ferramenta). Aqui o foco são os processos e modelos de acesso.
Regra
Ver íntegra
| Princípio | Significado |
|---|---|
| Menor privilégio | Cada usuário só tem o mínimo necessário à função |
| Necessidade de conhecer | Acesso à informação só se a tarefa exigir |
| Segregação de funções | Tarefas críticas divididas entre pessoas (quem solicita não aprova) |
| Negação por padrão | O que não é expressamente permitido é proibido |
Pontos-chave
- SSO (single sign-on): um login dá acesso a vários sistemas (ex.: gov.br).
- Controle físico (catracas, crachás, biometria na porta) × lógico (senhas, permissões, firewall).
- Biometria: taxa de falsa aceitação × falsa rejeição; não pode ser trocada se vazar.
- Senhas: o NIST recomenda privilegiar comprimento, verificar contra listas de senhas vazadas e não exigir troca periódica sem motivo.
- Revisão periódica de acessos e revogação imediata no desligamento ou mudança de função.
- Conta compartilhada prejudica a responsabilização (não se sabe quem fez).
Como a banca cobra
- "Uma senha associada a um token físico configura autenticação de dois fatores" → certo.
- "No modelo RBAC, as permissões são atribuídas a papéis, e os usuários recebem os papéis" → certo.
- "No controle de acesso discricionário, o sistema impõe rótulos de segurança que o dono do recurso não pode alterar" → errado (isso é MAC).
- "O princípio do menor privilégio recomenda conceder ao usuário apenas os acessos necessários ao desempenho de suas atividades" → certo.
- "Senha e PIN usados em conjunto caracterizam autenticação multifator" → errado (mesmo fator).
Referência
Mapa mental
Etapas
- Identificação: declara quem é
- Autenticação: prova quem é
- Autorização: o que pode fazer
- Auditoria: registra o que fez
Fatores
- Sabe: senha, PIN
- Tem: token, celular
- É: biometria
- MFA: categorias diferentes
Modelos
- DAC: dono decide
- MAC: sistema impõe rótulos
- RBAC: papéis e funções
- ABAC: atributos e contexto
Princípios
- Menor privilégio
- Necessidade de conhecer
- Segregação de funções
⚠️ Pegadinha
- Senha + PIN não é MFA
Questão 1, Agente PF, Certo ou Errado
Autenticação e autorização são sinônimos no controle de acesso.
Revelar gabarito
Gabarito: Errado
Errado. As etapas são distintas e sucessivas: a autenticação prova quem é o usuário, e a autorização define o que ele pode fazer. A auditoria, depois, registra o que foi feito.
Questão 2, Agente PF, Certo ou Errado
A exigência de senha e de PIN no mesmo login caracteriza autenticação multifator.
Revelar gabarito
Gabarito: Errado
Errado. Senha e PIN pertencem à mesma categoria, algo que você sabe. A autenticação multifator exige fatores de categorias diferentes, como senha combinada com código de aplicativo autenticador no celular.
Questão 3, Agente PF, Certo ou Errado
No controle de acesso obrigatório (MAC), as permissões são impostas pelo sistema com base em rótulos de classificação, e o usuário não pode alterá-las.
Revelar gabarito
Gabarito: Certo
Certo. No MAC, o sistema impõe as regras com base em rótulos de classificação, como sigiloso e secreto, e no credenciamento, sem permitir alteração pelo usuário. No DAC, quem decide é o dono do recurso.
Questão 4, Agente PF, Certo ou Errado
No modelo RBAC, as permissões são atribuídas a papéis, e os usuários as recebem conforme a função que exercem.
Revelar gabarito
Gabarito: Certo
Certo. No RBAC, as permissões são vinculadas a funções ou cargos, como escrivão ou delegado, e o usuário as recebe ao assumir o papel, em vez de recebê-las individualmente.
Questão 5, Agente PF, Certo ou Errado
A leitura de impressão digital corresponde ao fator "algo que você é".
Revelar gabarito
Gabarito: Certo
Certo. A biometria, como impressão digital, face, íris e voz, é fator do tipo algo que você é. Diferente de uma senha, porém, o dado biométrico não pode ser trocado se vazar.
- Revelar resposta
Identificação × autenticação × autorização × auditoria
Identificação: declara quem é. Autenticação: prova. Autorização: define o que pode fazer. Auditoria: registra o que fez.
- Revelar resposta
Fatores de autenticação
Algo que você sabe (senha), tem (token, celular) e é (biometria).
- Revelar resposta
MFA
Combina fatores de categorias diferentes: senha + PIN não é MFA; senha + código do app é.
- Revelar resposta
DAC × MAC
DAC: o dono do recurso decide o acesso. MAC: o sistema impõe regras por rótulos de classificação; usuário não altera.
- Revelar resposta
RBAC × ABAC
RBAC: permissões ligadas a papéis/cargos. ABAC: regras com atributos do usuário, do recurso e do contexto (horário, local).
- Revelar resposta
Identificação × autenticação
O usuário declara quem é na identificação, prova isso na autenticação, recebe permissões na autorização e tem suas ações registradas na auditoria ou contabilização.
- Revelar resposta
DAC
No DAC, o proprietário define as permissões do recurso, como nas permissões de arquivo; no MAC, ao contrário, o sistema impõe regras por rótulos de classificação.
- Revelar resposta
ABAC
O ABAC decide com base em atributos do usuário, do recurso e do contexto, como horário e local; associar permissões a cargos é a característica do modelo RBAC.
- Revelar resposta
Segregação de funções
A segregação de funções divide tarefas críticas entre pessoas diferentes, de modo que quem solicita não aprova, reduzindo o risco de fraude e de erro sem revisão.
- Revelar resposta
SSO
Com o single sign-on, o usuário autentica-se uma vez e passa a acessar diversos sistemas sem novo login, a exemplo do que ocorre com a conta gov.br.
Estude Agente PF no app
Grátis, sem cartão