Question

O alvo do ataque de desserialização insegura são aplicações da web que serializam e desserializam dados. Serialização é uma forma de transformar objetos (estrutura de dados) de uma aplicação e convertê-los em um formato que pode ser usado para armazenar os dados, ou fazer streaming. A desserialização é o processo contrário: Os dados serializados são convertidos em objetos que podem ser usados pelas aplicações. Um ataque de desserialização insegura ocorre no processo de desserialização, ou seja, antes que os dados sejam transformados em objetos e possam ser usados pelos aplicativos. Esse tipo de ataque é o resultado da desserialização de dados de fontes não confiáveis. As consequências podem ser ataques de negação de serviço (DDoS) e de execução remota de código. Entre as medidas que podem evitar esse tipo de ataque estão: Monitoramento da desserialização, verificações de tipos e proibição de desserialização de dados de fontes não confiáveis.

Para evitar desserializações inseguras, a recomendação é não aceitar objetos serializados de fontes não confiáveis. Além disso, a OWASP também dá a seguinte recomendação (INSECURE DESERIALIZATION, 2020):


Sempre que possível, executar código que desserializa dados em ambientes de alto privilégio;


Restringir a conectividade de rede, somente de entrada de servidores que desserializam;


Não impor restrições de tipo durante a desserialização dos dados antes da criação do objeto, pois a aplicação foi desenvolvida para receber um conjunto de dados com tipos pré-definidos;


Monitorar o comportamento de usuários que raramente fazem desserialização;


Com o objetivo de impedir a criação de objetos com riscos de segurança, ou a violação de dados, deve-se implementar verificações de integridade, como assinaturas digitais em qualquer objeto serializado;

Answer 1

Resposta:

Explicação:

Resp: Com o objetivo de impedir a criação de objetos com riscos de segurança, ou a violação de dados, deve-se implementar verificações de integridade, como assinaturas digitais em qualquer objeto serializado;

Answer 2

Resposta:

Com o objetivo de impedir a criação de objetos com riscos de segurança, ou a violação de dados, deve-se implementar verificações de integridade, como assinaturas digitais em qualquer objeto serializado;

Explicação:

Gabarito