24년 1회차

전자서명은 송신자 A의 개인키로 생성한다.

A만 가진 개인키로 서명해야 누구나 A의 공개키로 검증할 수 있고, 서명자가 A임을 확인하며 A가 서명 사실을 부인하지 못한다.

• 사용자 A의 공개키: 서명을 생성하는 키가 아니라 검증하는 키다.
• 사용자 B의 개인키: B만 가진 키라 A가 사용할 수 없으며, B에게 암호화된 메시지를 복호화할 때 쓰인다.
• 사용자 B의 공개키: B에게 보낼 메시지의 기밀성을 위해 암호화할 때 쓰는 키다.

원본 파일에 정보를 숨겨 그 존재 자체를 알기 어렵게 하는 기술은 스테가노그래피이다.

스테가노그래피는 이미지·음성 등 매체에 정보를 은닉해 존재를 감추는 기술로, 내용을 알아볼 수 없게 만드는 암호화와 구별된다.

• 퍼징: 무작위·비정상 입력을 넣어 프로그램의 취약점을 찾는 시험 기법이다.
• 스캐닝: 대상 시스템의 열린 포트·서비스·취약점을 탐색하는 기법이다.
• 크립토그래피: 정보 내용을 알아볼 수 없게 암호화하는 기술로, 정보의 존재는 드러난다.

사람의 심리를 이용하고 신뢰할 만한 사람으로 위장해 정보를 얻는 공격은 사회공학 공격이다.

사회공학은 기술적 보안을 직접 깨는 대신 사람의 신뢰·호기심·두려움 같은 심리적 약점을 노려 비밀번호 등 정보를 얻어낸다.

• 재전송 공격: 가로챈 정상 메시지를 다시 보내 인증 등을 통과하려는 공격이다.
• 무차별 대입 공격: 가능한 모든 키나 비밀번호를 차례로 시도하는 공격이다.
• 중간자 공격: 통신 중간에 끼어들어 메시지를 가로채거나 변조하는 공격이다.

ECB 모드는 같은 평문 블록을 항상 같은 암호문 블록으로 암호화한다는 설명이 옳다.

ECB는 각 블록을 같은 키로 독립적으로 암호화하므로 평문의 반복 패턴이 암호문에 그대로 드러난다. CBC는 이전 암호문 블록을 다음 평문 블록과 XOR해 이런 패턴 노출을 막는다.

• ECB가 블록 간 영향이 없는 것은 맞지만, 패턴이 드러나므로 안전하다고 할 수 없다.
• CBC에서 블록의 변화는 이전 블록이 아니라 이후 블록에 영향을 준다.
• CBC 암호화에는 이전 암호문 블록의 결과가 반드시 필요하다.

확장성(Scalability)은 컴퓨터 보안의 3요소에 해당하지 않는다.

컴퓨터 보안의 3요소는 기밀성·무결성·가용성(CIA)이며, 확장성은 시스템 규모 확대에 대응하는 성능·설계 특성이다.

• 무결성: 정보가 허가 없이 변경되지 않도록 보장하는 요소다.
• 가용성: 필요할 때 정보와 시스템을 사용할 수 있게 보장하는 요소다.
• 기밀성: 허가된 사람만 정보에 접근하도록 보장하는 요소다.

IP 주소에 대응하는 MAC 주소를 공격자의 MAC 주소로 속이는 공격은 ARP 스푸핑이다.

공격자가 위조된 ARP 응답으로 서버와 클라이언트의 ARP 캐시를 오염시키면 두 호스트 사이의 패킷이 공격자를 거치게 된다.

• SYN 플러딩: 연결 요청(SYN)을 대량으로 보내 서버의 연결 자원을 고갈시키는 서비스 거부 공격이다.
• DNS 스푸핑: 도메인 이름 질의에 위조된 IP 주소를 응답하는 공격이다.
• ICMP 리다이렉트 공격: 위조된 ICMP 리다이렉트 메시지로 라우팅 경로를 공격자 쪽으로 바꾸는 공격이다.

IEEE 802.11i의 쌍별 키 계층은 PSK → PMK → PTK → TK 순이므로 (가) PMK, (나) PTK, (다) TK이다.

개인 모드에서는 PSK가 그대로 PMK(Pairwise Master Key)가 되고, PMK와 양측의 난수·MAC 주소로 세션마다 PTK(Pairwise Transient Key)를 유도한다.

PTK는 다시 여러 키로 나뉘며, 그중 실제 데이터 암호화에 쓰는 키가 TK(Temporal Key)로 계층의 가장 아래에 있다.

• PMK·TK·PTK: TK를 PTK보다 위에 두어 PTK에서 TK가 유도되는 순서와 맞지 않는다.
• PTK·TK·PMK: 계층이 거꾸로 되어 PMK가 맨 아래에 놓인다.
• PTK·PMK·TK: PTK를 PMK보다 위에 두어 PMK에서 PTK가 유도되는 순서와 맞지 않는다.

개발은 CC의 보증 요구사항 클래스에 해당한다.

CC는 보안 기능이 무엇인지를 정하는 기능 요구사항과, 그 기능이 올바르게 구현되었음을 확인하는 보증 요구사항으로 나뉜다. 보증 요구사항에는 개발, 설명서, 생명주기 지원, 시험, 취약성 평가 등이 있다.

• 암호 지원은 기능 요구사항 클래스다.
• 식별과 인증은 기능 요구사항 클래스다.
• 사용자 데이터 보호는 기능 요구사항 클래스다.

/bin/bash는 사용자가 로그인할 때 실행되는 로그인 셸이므로, 패스워드가 암호화되어 그 경로에 저장되어 있다는 설명이 옳지 않다.

/etc/passwd의 필드는 사용자 ID : 패스워드 : UID : GID : 설명 : 홈 디렉터리 : 로그인 셸 순이다. 두 번째 필드의 x는 암호화된 패스워드가 /etc/shadow에 따로 저장되어 있음을 뜻한다.

• 첫 번째 필드 root가 사용자 ID라는 설명은 옳다.
• 세 번째 필드 0이 UID라는 설명은 옳다.
• 여섯 번째 필드 /root가 홈 디렉터리 경로라는 설명은 옳다.

umask가 027이면 디렉터리의 기본 권한은 750, 즉 drwxr-x---이다.

디렉터리의 기본 최대 권한 777에서 umask 값을 빼서 권한을 정한다.
$777-027=750$

750은 소유자 rwx(7), 그룹 r-x(5), 기타 ---(0)이므로 소유자는 모든 권한, 그룹은 읽기·실행, 기타 사용자는 권한이 없다.

• drw-r-----은 640으로, 파일 기본 권한 666에 umask 027을 적용한 결과에 해당한다.
• d---r--rw-는 046으로, 소유자에게 권한이 전혀 없고 기타 사용자에게 읽기·쓰기를 주어 750과 다르다.
• d---r-xrwx는 057로, 역시 소유자 권한이 없고 기타 사용자에게 모든 권한을 주어 750과 다르다.

로우레벨 언어(기계어)를 하이레벨 언어(소스 코드 형태)로 변환하는 역공학 도구는 디컴파일러이다.

디컴파일러는 컴파일된 실행 파일을 C 등 고급 언어 형태로 되돌려 프로그램의 논리를 파악하게 해 준다.

• 디버거: 프로그램을 단계별로 실행하며 메모리·레지스터 상태를 관찰하는 도구다.
• 패커: 실행 파일을 압축·난독화하는 도구로 오히려 분석을 어렵게 한다.
• 어셈블러: 어셈블리어를 기계어로 변환하는 도구로, 변환 방향이 반대다.

델파이법·시나리오법·순위결정법·브레인스토밍은 정성적 분석법이므로, 이를 정량적 분석법이라 한 설명이 옳지 않다.

정량적 분석법에는 과거자료 분석법, 수학공식 접근법, 확률 분포법 등 손실을 수치(금액)로 산출하는 방법이 속한다.

• 자산의 화폐가치를 식별하기 어려울 때 정성적 평가를 이용한다는 설명은 옳다.
• 정성적 분석은 과정과 기준이 주관적이어서 사람마다 결과가 달라질 수 있다는 설명은 옳다.
• 연간 기대 손실을 단일 예상 손실액에 연간 발생률을 곱해 구한다는 설명은 옳다.

처리방침에 들어갈 연락처는 개인정보 보호책임자의 성명 또는 개인정보 보호업무·고충 처리 부서의 연락처이므로, 개인정보처리자의 성명이나 개인정보를 활용하는 부서의 연락처는 포함 사항이 아니다.

처리방침의 연락처 항목은 정보주체가 개인정보 문제를 문의·고충 처리할 창구를 알리기 위한 것이다.

• 개인정보의 처리 목적은 처리방침 포함 사항이다.
• 개인정보의 처리 및 보유 기간은 처리방침 포함 사항이다.
• 정보주체와 법정대리인의 권리·의무 및 그 행사방법에 관한 사항은 처리방침 포함 사항이다.

완전히 자동화된 처리에 따른 결정에 대해 정보주체가 가지는 권리는 이를 거부하거나 설명 등을 요구할 권리이므로, 승인하거나 회복 등을 요구할 권리는 해당하지 않는다.

자동화된 결정에 대한 권리는 2023년 개정으로 정보주체의 권리에 추가되어 시험 당시 시행 중이었으며, 그 내용은 결정의 거부와 설명 등의 요구다.

• 개인정보 처리에 관한 정보를 제공받을 권리는 정보주체의 권리다.
• 처리 정지, 정정·삭제 및 파기를 요구할 권리는 정보주체의 권리다.
• 처리로 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리는 정보주체의 권리다.

증거물의 획득부터 법정 제출까지 전 과정의 추적성을 보장하는 원칙은 연계 보관성의 원칙이다.

연계 보관성(Chain of Custody)은 증거물이 각 단계에서 누구에게 어떻게 넘겨지고 관리되었는지 기록해 관리 연속성을 입증하는 원칙이다.

• 정당성의 원칙: 증거가 적법한 절차로 수집되어야 한다는 원칙이다.
• 재현의 원칙: 같은 조건에서 같은 결과가 재현되어야 한다는 원칙이다.
• 무결성의 원칙: 수집된 증거가 위변조되지 않아야 한다는 원칙이다.

128비트 키를 사용하는 AES의 라운드 수는 10이다.

AES는 키 길이에 따라 라운드 수가 달라져, 128비트 키는 10라운드, 192비트 키는 12라운드, 256비트 키는 14라운드를 수행한다.

• 12는 192비트 키의 라운드 수다.
• 14는 256비트 키의 라운드 수다.
• 16은 AES가 아니라 DES의 라운드 수다.

단편화·압축·MAC 첨부·암호화로 기밀성과 무결성을 제공하는 SSL 프로토콜은 레코드 프로토콜이다.

레코드 프로토콜은 상위 계층 데이터를 처리해 전송 계층으로 넘기며, 핸드셰이크로 협상된 키와 알고리즘을 실제 적용하는 역할을 한다.

• 경고 프로토콜: 오류나 이상 상황을 상대방에게 알린다.
• 핸드셰이크 프로토콜: 상호 인증과 암호 알고리즘·키 교환을 협상한다.
• 암호 명세 변경 프로토콜: 협상된 암호 명세를 활성화하도록 알린다.

정보통신망연결기기등의 정보보호를 위해 규정된 것은 기술적 보호조치이므로, 물리적 보호조치는 명시적으로 규정된 사항이 아니다.

정보통신망법 제45조의 정보보호지침에는 접근·침입 방지를 위한 기술적·물리적 보호조치, 불법 유출·위변조 방지를 위한 기술적 보호조치, 지속적 이용 확보를 위한 기술적·물리적 보호조치, 인력·조직·경비 확보 등 관리적 보호조치, 정보통신망연결기기등을 위한 기술적 보호조치가 포함된다.

• 정보의 불법 유출·위조·변조·삭제 방지를 위한 기술적 보호조치는 규정된 사항이다.
• 정보통신망의 지속적 이용 가능 상태 확보를 위한 기술적·물리적 보호조치는 규정된 사항이다.
• 인력·조직·경비 확보와 계획수립 등 관리적 보호조치는 규정된 사항이다.

정보자산 식별, 현황 및 흐름 분석, 보호대책 선정은 ISMS-P 관리체계 수립 및 운영 영역의 위험 관리 단계에 해당한다.

위험 관리 단계는 정보자산을 식별하고 현황과 흐름을 분석한 뒤 위험을 평가하고, 그 결과에 따라 보호대책을 선정해 이행계획을 수립하는 과정으로 이루어진다.

• 관리체계 운영: 선정한 보호대책을 구현하고 운영 현황을 관리하는 단계다.
• 관리체계 기반 마련: 경영진 참여, 최고책임자 지정, 조직 구성, 범위 설정, 정책 수립 등 기반을 갖추는 단계다.
• 관리체계 점검 및 개선: 법적 요구사항 준수 검토와 내부 점검으로 관리체계를 개선하는 단계다.

디지털 콘텐츠의 불법 복제·유포를 막고 저작권자의 권리를 보호하는 기술은 DRM이다.

DRM은 콘텐츠를 암호화하고 사용 권한(재생 횟수·기간·기기 등)을 통제해 허가된 사용자만 이용하게 한다.

• PGP: 전자우편의 기밀성·인증을 제공하는 암호화 프로그램이다.
• IDS: 네트워크·시스템의 침입을 탐지하는 시스템이다.
• PIMS: 개인정보보호 관리체계 인증 제도다.