Questão 2087359

• Banca: IESES
• Órgão: TRE-MA
• Ano: 2015
• Provas: IESES - 2015 - TRE-MA - Analista Judiciário - Análise de Sistemas
• Disciplina: Segurança da Informação
• Assuntos: SSL

Heartbleed (CVE-2014-016) foi o nome dado a uma recente falha na biblioteca OpenSSL, empregada para fornecimento de criptografia em inúmeros serviços de rede, como servidores web e de bancos de dados. Essa falha, que ficou famosa e foi bastante difundida no meio jornalístico, consiste em o atacante conseguir obter uma mensagem:

I. Menor do que o esperado para a funcão heartbeat da biblioteca OpenSSL.

II. Maior do que o esperado para a funcão heartbeat da biblioteca OpenSSL. E, consequentemente, conseguir ler informações sensitivas como logins e senhas:

III. Cifradas na área de memória do servidor vulnerável.

IV. Decifradas na área de memória do servidor vulnerável.

São corretas as afirmações:

• A. II e IV.
• B. II e III.
• C. I e III.
• D. I e IV.

Gabarito: A

Comentários

• Gabarito A

  Heartbleed é um bug na biblioteca de software de criptografia open-source OpenSSL, que permite a um atacante ler a memória de um servidor ou de um cliente, permitindo a este recuperar chaves SSL privadas do servidor. [1][2][3] Os logs que foram examinados até agora, levam a crer que alguns hackers podem ter explorado a falha de segurança pelo menos cinco meses antes da falha ser descoberta por equipes de segurança.

   

  "Retroceder Nunca Render-se Jamais !"
  Força e Fé !
  Fortuna Audaces Sequitur !

• Letra A

  Vamos pensar assim...

  Normalmente encontram-se vulnerabilidades relacionadas às aplicações por meio de overflow (transbordam-se as informações na memória, por exemplo) e isso foi o que me fez escolher o item II.

  Não faria sentido escolher informações cifradas, por essa razão escolhi tbém o item IV.