Questões de Controle de acesso e autenticação

Errado. As etapas são distintas e sucessivas: a autenticação prova quem é o usuário, e a autorização define o que ele pode fazer. A auditoria, depois, registra o que foi feito.

Errado. Senha e PIN pertencem à mesma categoria, algo que você sabe. A autenticação multifator exige fatores de categorias diferentes, como senha combinada com código de aplicativo autenticador no celular.

Certo. No MAC, o sistema impõe as regras com base em rótulos de classificação, como sigiloso e secreto, e no credenciamento, sem permitir alteração pelo usuário. No DAC, quem decide é o dono do recurso.

Certo. No RBAC, as permissões são vinculadas a funções ou cargos, como escrivão ou delegado, e o usuário as recebe ao assumir o papel, em vez de recebê-las individualmente.

Certo. A biometria, como impressão digital, face, íris e voz, é fator do tipo algo que você é. Diferente de uma senha, porém, o dado biométrico não pode ser trocado se vazar.

Certo. A autenticação multifator combina categorias diferentes de fatores, como algo que se sabe, algo que se tem e algo que se é. Senha com código do aplicativo atende a essa exigência.

Certo. Pelo menor privilégio, cada usuário recebe somente o mínimo necessário à sua função, o que limita abusos e danos. O princípio se complementa com a revisão periódica de acessos concedidos.

Errado. Duas senhas pertencem à mesma categoria, algo que se sabe, e não configuram dois fatores. A autenticação de dois fatores exige categorias diferentes, como senha e token ou senha e biometria.

Certo. O usuário declara quem é na identificação, prova isso na autenticação, recebe permissões na autorização e tem suas ações registradas na auditoria ou contabilização.

Certo. No DAC, o proprietário define as permissões do recurso, como nas permissões de arquivo; no MAC, ao contrário, o sistema impõe regras por rótulos de classificação.

Errado. O ABAC decide com base em atributos do usuário, do recurso e do contexto, como horário e local; associar permissões a cargos é a característica do modelo RBAC.

Errado. A segregação de funções divide tarefas críticas entre pessoas diferentes, de modo que quem solicita não aprova, reduzindo o risco de fraude e de erro sem revisão.

Certo. Com o single sign-on, o usuário autentica-se uma vez e passa a acessar diversos sistemas sem novo login, a exemplo do que ocorre com a conta gov.br.