17년 1회차

기밀성 침해는 인가받지 않은 자가 정보의 내용을 알아내는 것이므로, 데이터 내용이 분석되어 노출되는 것이 이에 해당한다.

기밀성은 정보가 허가된 대상에게만 공개되도록 보장하는 보안 목표로, 도청이나 통계적 분석으로 내용이 파악되면 침해된다.

• 장비가 불능 상태가 되어 서비스가 제공되지 않는 것은 자원을 사용할 수 없게 만드는 것이므로 가용성 침해이다.
• 새로운 파일이 허위로 만들어지는 것은 없던 데이터를 위조하는 것이므로 무결성 침해이다.
• 메시지가 재정렬되는 것은 원래 데이터의 순서를 변경하는 것이므로 무결성 침해이다.

관리상·보안상의 문제로 폐기된 인증서들을 모아 둔 것은 인증서 폐기 목록(Certificate Revocation List)이다.

인증기관은 유효기간이 끝나기 전에 효력을 잃은 인증서를 이 목록에 등재해 배포하고, 검증자는 이를 참조해 인증서의 폐기 여부를 확인한다.

• 온라인 인증서 상태 프로토콜(Online Certificate Status Protocol)은 인증서 상태를 실시간으로 질의·응답하는 프로토콜이지 목록 자체가 아니다.
• 보안 소켓 계층(Secure Socket Layer)은 전송 구간을 암호화하는 보안 프로토콜이다.
• 인증기관(Certification Authority)은 인증서를 발급·폐기하는 신뢰 주체이다.

AES의 블록 크기는 항상 128비트이고 키 길이는 128/192/256비트 중에서 선택한다.

AES는 고정된 128비트 블록을 처리하며, 키 길이에 따라 AES-128·AES-192·AES-256으로 구분되고 라운드 수가 각각 10·12·14로 달라진다.

• 블록 크기가 64비트라는 설명들은 옛 표준인 DES 계열의 블록 크기이므로 옳지 않다.
• 키 길이가 56비트라는 설명은 DES의 키 길이이므로 옳지 않다.

우리나라 국가 표준으로 지정된 128비트 블록 암호로 경량·하드웨어 효율을 겨냥해 개발된 것은 ARIA이다.

ARIA는 국내에서 개발되어 국가 표준(KS)으로 채택된 128비트 블록 암호로, 경량 환경과 하드웨어 구현에서의 효율을 고려해 설계되었다.

• IDEA는 스위스에서 개발된 블록 암호로 우리나라 국가 표준이 아니다.
• 3DES는 DES를 세 번 반복 적용한 방식으로 별도로 개발된 경량 국가 표준 암호가 아니다.
• HMAC은 해시 함수를 이용한 메시지 인증 코드로 블록 암호가 아니다.

보안의 필요성과 안전성 향상을 위해 할 수 있는 바를 참여자가 알고 있어야 한다는 원리는 인식(Awareness)이다.

OECD 정보시스템·네트워크 보안 가이드라인에서 인식 원리는 참여자가 보안의 중요성과 자신이 취할 수 있는 조치를 인지해야 함을 강조한다.

• 책임(Responsibility)은 참여자가 자신의 역할에 대해 보안 책임을 져야 한다는 원리이다.
• 윤리(Ethics)는 타인의 정당한 이익을 존중해야 한다는 원리이다.
• 재평가(Reassessment)는 보안 상태를 주기적으로 검토·개선해야 한다는 원리이다.

국외 이전 동의 절차에서 이용자에게 고지해야 하는 사항은 개인정보를 이전받는 자에 관한 것이므로, 개인정보를 이전하는 자의 성명을 고지 대상으로 든 설명은 해당하지 않는다.

정보통신서비스 제공자등은 이전되는 개인정보 항목, 이전되는 국가·일시·방법, 이전받는 자의 성명(법인은 명칭과 정보관리책임자 연락처), 이전받는 자의 이용 목적과 보유·이용 기간을 이용자에게 알려야 한다.

• 이전되는 개인정보 항목은 고지 사항에 포함된다.
• 개인정보가 이전되는 국가, 이전 일시 및 이전 방법은 고지 사항에 포함된다.
• 이전받는 자의 개인정보 이용 목적 및 보유·이용 기간은 고지 사항에 포함된다.

IPSec에서 두 통신 주체 간의 보안 연결(SA)을 설정하기 위해 키를 협상·교환하는 것은 인터넷 키 교환(Internet Key Exchange)이다.

IKE는 통신 양측이 사용할 암호 알고리즘과 키 등 보안 연결의 매개변수를 협상하여 안전하게 공유함으로써 IPSec 통신의 기반을 만든다.

• 인증 헤더(Authentication Header)는 데이터의 무결성과 송신자 인증을 제공하는 IPSec 프로토콜이다.
• 보안 페이로드 캡슐화(Encapsulating Security Payload)는 기밀성과 무결성을 제공하는 IPSec 프로토콜이다.
• 확장 인증 프로토콜(Extensible Authentication Protocol)은 접속 인증을 위한 프레임워크로 보안 연결 설정을 담당하지 않는다.

특정 기기나 파일을 사용·열람하지 못하게 암호화한 뒤 이를 풀어 주는 대가로 금품을 요구하는 악성코드는 랜섬웨어(Ransomware)이다.

랜섬웨어는 감염된 시스템의 문서·이미지 등 파일을 암호화해 인질로 삼고, 복호화 키를 주겠다며 금전을 갈취하는 것이 핵심 특징이다.

• 웹 셸(Web Shell)은 웹 서버에 업로드해 원격 제어에 쓰는 악성 스크립트이다.
• 허니팟(Honeypot)은 공격자를 유인·관찰하기 위한 미끼 시스템이다.
• 스턱스넷(Stuxnet)은 산업 제어 시스템을 표적으로 한 웜 형태의 악성코드이다.

안전성 확보 조치는 삭제된 개인정보가 복구·재생되지 않도록 하는 것이므로, 삭제된 정보를 복구 또는 재생할 수 있는 방안을 마련한다는 설명은 이에 해당하지 않는다.

개인정보 보호법은 개인정보를 파기할 때 복구 또는 재생되지 아니하도록 조치하라고 정하고 있는데, 제시된 설명은 그 반대로 복원 수단을 두는 것이어서 안전성 확보 조치가 될 수 없다.

• 개인정보의 안전한 처리를 위한 내부 관리계획의 수립·시행은 안전성 확보 조치에 해당한다.
• 안전한 저장·전송을 위한 암호화 기술 적용 또는 이에 상응하는 조치는 안전성 확보 조치에 해당한다.
• 접속기록의 보관과 위조·변조 방지 조치는 안전성 확보 조치에 해당한다.

유한체의 이산대수 문제에 기반한 것은 ElGamal, 타원곡선군의 이산대수 문제에 기반한 것은 타원곡선 암호(ECC), 소인수분해의 어려움에 기반한 것은 Rabin 암호시스템이다.

ElGamal은 유한체 위의 이산대수 계산이 어렵다는 점을, 타원곡선 암호는 타원곡선군에서의 이산대수 계산이 어렵다는 점을, Rabin 암호는 큰 합성수의 소인수분해가 어렵다는 점을 안전성의 근거로 삼는다.

• Knapsack 암호는 배낭(부분집합 합) 문제에 기반하므로 유한체 이산대수를 근거로 든 자리에 맞지 않는다.
• 타원곡선군의 이산대수에 기반하는 것은 타원곡선 암호이지 전자서명 표준인 DSS가 아니므로, 그 자리에 DSS를 둔 짝은 옳지 않다.
• RSA도 소인수분해에 기반하지만, RSA를 둔 조합은 앞 자리에 DSS나 Knapsack이 들어가 있어 성립하지 않는다.

가상사설망 터널링에 쓰이지 않는 것은 단순 파일 전송용인 TFTP이다.

L2F, PPTP, L2TP는 모두 VPN 터널을 만드는 데 사용되는 터널링 프로토콜인 반면, TFTP는 인증·암호화 없이 파일을 주고받는 간단한 전송 프로토콜이다.

• L2F는 원격 접속을 위한 계층 2 터널링 프로토콜이다.
• PPTP는 점대점 터널링을 제공하는 VPN 프로토콜이다.
• L2TP는 L2F와 PPTP의 장점을 합친 계층 2 터널링 프로토콜이다.

메모리 영역에 과도한 데이터를 채워 정상 동작을 방해하는 공격은 버퍼 오버플로(Buffer overflow)이다.

버퍼 오버플로는 할당된 버퍼 크기를 넘는 데이터를 입력해 인접 메모리를 덮어씀으로써 프로그램을 비정상 종료시키거나 공격자 코드를 실행하게 만든다.

• 스푸핑(Spoofing)은 송신자나 주소를 위장하는 공격이다.
• 스니핑(Sniffing)은 네트워크 패킷을 몰래 엿듣는 공격이다.
• 스캐닝(Scanning)은 열린 포트나 취약점을 탐색하는 정보 수집 행위이다.

적절한 권한을 가진 사용자를 식별하고 인증하기 위해 사용자 정보를 관리하는 것은 계정 관리이다.

계정 관리는 사용자 식별자와 인증 수단, 권한을 생성·변경·삭제하며 통제하는 활동으로, 인가된 사용자만 시스템을 쓰도록 하는 기반이 된다.

• 세션 관리는 로그인 이후 연결 상태와 유효 시간을 통제하는 활동이다.
• 로그 관리는 시스템 활동 기록을 수집·보관·분석하는 활동이다.
• 취약점 관리는 시스템의 약점을 점검·조치하는 활동이다.

무선랜을 보호하는 기술이 아닌 것은 비인가로 설치된 불량 접속점(Rogue Access Points)으로, 이는 보호 수단이 아니라 위협 요소이다.

WiFi Protected Access와 그 기업용 방식, Wired Equivalent Privacy는 무선 구간의 데이터를 암호화·인증해 보호하는 기술인 반면, 불량 접속점은 공격자가 몰래 설치해 트래픽을 가로채는 비인가 장비이다.

• WiFi Protected Access는 WEP의 약점을 보완한 무선랜 보안 기술이다.
• WiFi Protected Access Enterprise는 인증 서버를 이용해 기업 환경에 적용하는 강화된 무선랜 보안 방식이다.
• Wired Equivalent Privacy는 초기 무선랜 암호화 기술이다.

옳지 않은 것은 정보통신망의 이용 촉진과 이용자 개인정보 보호를 목적으로 든 설명으로, 이는 정보통신산업 진흥법이 아니라 정보통신망 이용촉진 및 정보보호 등에 관한 법률의 목적에 해당한다.

정보통신산업 진흥법은 정보통신산업의 기반을 조성하고 경쟁력을 강화하여 산업 발전을 꾀하는 것을 목적으로 하므로, 개인정보 보호와 정보통신망 이용 환경 조성을 목적으로 서술한 것은 법률과 설명이 어긋난다.

• 정보통신기반 보호법의 목적을 주요정보통신기반시설 보호 대책의 수립·시행으로 설명한 것은 옳다.
• 전자서명법의 목적을 전자문서의 안전성·신뢰성 확보와 전자서명 이용 활성화로 설명한 것은 옳다.
• 통신비밀보호법의 목적을 통신·대화의 비밀 보호와 통신 자유 신장으로 설명한 것은 옳다.

성격이 다른 것은 확률 분포법으로, 이것만 정량적 위험분석 방법이고 나머지 셋은 정성적 방법이다.

확률 분포법은 수치와 확률 분포를 이용해 위험을 금액 등으로 산정하는 정량적 접근인 반면, 시나리오법·순위결정법·델파이법은 전문가의 판단과 상대적 평가에 의존하는 정성적 접근이다.

• 시나리오법은 특정 상황을 가정해 위험을 추정하는 정성적 방법이다.
• 순위결정법은 항목 간 상대적 우선순위를 매겨 평가하는 정성적 방법이다.
• 델파이법은 전문가 집단의 의견을 수렴해 평가하는 정성적 방법이다.

옳은 설명은 사용자가 모르게 불법적 동작을 하도록 만들어진 프로그램을 가리키는 크라임웨어에 관한 것이다.

나머지 설명들은 공격 유형의 정의가 서로 뒤바뀌어 있어 옳지 않다.

• 스니핑을 적극적 공격이라 한 설명은 옳지 않다. 스니핑은 패킷을 몰래 엿듣기만 하는 소극적(수동적) 공격이다.
• 철자가 유사한 도메인으로 위장 홈페이지를 만들어 유인한다는 설명은 파밍이 아니라 유사 도메인을 악용하는 수법이며, 파밍은 주로 DNS나 호스트 파일을 조작해 정상 주소 입력에도 위장 사이트로 유도한다.
• 도메인 자체를 탈취하는 공격이라는 설명은 피싱이 아니며, 피싱은 위장된 메일·사이트로 이용자를 속여 개인정보를 빼내는 수법이다.

응용 프로그램을 원래 운영체제와 격리된 가상 공간에서 실행해 호스트에 해를 끼치지 못하게 하는 보호된 제한 구역은 샌드박스(Sandbox)이다.

샌드박스는 프로그램을 실제 시스템과 분리된 통제된 영역에서 돌려, 악성 행위가 있어도 그 영향이 바깥 시스템으로 번지지 않도록 가둬 두는 기법이다.

• 화이트박스(Whitebox)는 내부 구조를 모두 아는 상태에서 수행하는 분석·시험 방식을 가리킨다.
• 미들박스(Middlebox)는 통신 경로 중간에서 트래픽을 처리·변형하는 네트워크 장비를 가리킨다.
• 블루박스(Bluebox)는 과거 전화망 신호를 조작하던 장치를 가리킨다.

관리자가 사전에 정한 규칙에 따라 접근 권한을 부여하는 기법은 강제적 접근통제(Mandatory Access Control)이다.

강제적 접근통제는 주체와 객체에 부여된 보안 등급(규칙)을 시스템이 비교해 접근을 결정하므로, 사용자 개인의 재량으로 권한을 바꿀 수 없다.

• 임의적 접근통제(Discretionary Access Control)는 객체 소유자의 재량으로 권한을 부여한다.
• 역할 기반 접근통제(Role Based Access Control)는 사용자의 역할에 따라 권한을 부여한다.
• 참조 모니터(Reference Monitor)는 접근 요청을 중재하는 추상적 통제 개념으로 접근통제 기법의 한 범주가 아니다.

임의로 생성한 데이터를 입력으로 넣어 소프트웨어의 안전성과 취약성을 검사하는 방법은 퍼징(Fuzzing)이다.

퍼징은 예상치 못한 값이나 잘못된 형식의 데이터를 대량으로 주입해 프로그램의 비정상 종료나 오류를 유발함으로써 숨은 취약점을 찾아내는 동적 시험 기법이다.

• 역공학(Reverse Engineering)은 완성된 소프트웨어를 분석해 구조나 동작 원리를 파악하는 것이다.
• 정규화(Canonicalization)는 입력을 표준 형태로 변환하는 처리로 취약점 검사 기법이 아니다.
• 소프트웨어 프로토타이핑(Software Prototyping)은 시제품을 만들어 요구사항을 확인하는 개발 방법이다.