Session hijacking é uma técnica utilizada por invasores par...

A alternativa correta é B - F, V, F.

Vamos entender por que essa é a resposta correta e analisar cada afirmativa.

(1) HTTPS torna um site imune ao session hijacking.

Essa afirmativa é falsa. O uso de HTTPS (HyperText Transfer Protocol Secure) realmente aumenta a segurança da comunicação entre o navegador do usuário e o servidor, criptografando os dados trocados. No entanto, isso não torna um site completamente imune ao session hijacking. Invasores ainda podem empregar outras técnicas, como ataques de phishing ou exploração de vulnerabilidades no lado do cliente ou servidor, para obter tokens de sessão.

(2) Captura ou replica o token de sessão do usuário para assumir a identidade da sessão.

Essa afirmativa é verdadeira. O session hijacking envolve a captura ou replicação do token de sessão do usuário. Esse token é um identificador único gerado pelo servidor no início de uma sessão autenticada. Se um invasor consegue obter esse token, ele pode usá-lo para assumir a identidade do usuário legítimo e acessar recursos no servidor como se fosse o próprio usuário.

(3) Cookies seguros evitam que session hijacking ocorra.

Essa afirmativa é falsa. Embora a configuração de cookies seguros (usando a flag Secure e a flag HttpOnly) dificulte o roubo de cookies, ela não elimina completamente o risco de session hijacking. Cookies seguros protegem a transmissão dos cookies via HTTPS e restringem o acesso a eles apenas ao lado do servidor (não sendo acessíveis via JavaScript), mas um invasor ainda pode usar outras técnicas para comprometer a sessão.

Portanto, com base nas explicações acima, a sequência correta de respostas é F, V, F, correspondendo à alternativa B.

Gostou do comentário? Deixe sua avaliação aqui embaixo!

Gabarito: B

Explicações:

1. HTTPS torna um site imune ao session hijacking.

  - Falso. Embora HTTPS aumente a segurança ao criptografar os dados transmitidos entre o cliente e o servidor, ele não torna um site totalmente imune ao session hijacking. Há outras técnicas de ataque, como o roubo de cookies através de XSS (cross-site scripting), que podem ainda permitir o sequestro de sessão.

2. Captura ou replica o token de sessão do usuário para assumir a identidade da sessão.

  - Verdadeiro. Session hijacking frequentemente envolve a captura do token de sessão (por exemplo, cookie de sessão) do usuário para assumir a identidade dessa sessão.

3. Cookies seguros evitam que session hijacking ocorra.

  - Falso. Cookies marcados como seguros (usando a flag `Secure` e `HttpOnly`) podem reduzir o risco de session hijacking, mas não o evitam completamente. Outras vulnerabilidades, como XSS, podem ser exploradas para capturar tokens de sessão mesmo quando cookies seguros são usados.