19년 1회차

HTTPS는 HTTP 메시지를 SSL/TLS 보안 계층으로 감싸 TCP 연결 위에서 주고받는 방식이므로, 구성에 필요한 프로토콜은 TCP와 SSL이다.

신뢰성 있는 전송을 담당하는 TCP 위에서 SSL이 암호화·인증을 수행해야 HTTPS가 성립하므로, 두 프로토콜을 함께 고른 조합이 옳다.

• SOAP은 XML 기반 웹 서비스 메시지 교환 규약으로 HTTPS 구성과 직접 관련이 없다.
• SET은 전자결제 보안을 위한 프로토콜로 HTTPS를 구성하는 요소가 아니다.

웹 애플리케이션 보안 취약점을 연구하고 10대 취약점(Top 10)을 발표하는 비영리 단체는 OWASP(Open Web Application Security Project)이다.

OWASP는 웹 보안 정보와 도구를 공개하며, 주기적으로 OWASP Top 10을 통해 가장 위험한 웹 애플리케이션 취약점을 정리해 발표한다.

• IETF의 웹 보안 작업반은 인터넷 표준을 제정하는 조직의 작업반으로 10대 취약점을 발표하지 않는다.
• Web Application Security Working Group류의 명칭은 표준화 작업반을 가리킬 뿐 10대 취약점 발표 주체가 아니다.
• W3C는 웹 표준(HTML 등)을 제정하는 기구로 10대 취약점을 발표하지 않는다.

전송 데이터를 암호화하여 기밀성을 보장하는 프로토콜은 SSH이다.

SSH는 원격 접속 시 인증 정보와 통신 내용을 모두 암호화하므로 도청으로부터 데이터를 보호한다.

• IP는 패킷 전달(라우팅)을 담당할 뿐 자체 암호화 기능이 없다.
• UDP는 비연결형 전송을 제공할 뿐 데이터를 평문으로 전달한다.
• Telnet은 아이디·비밀번호를 포함한 모든 내용을 평문으로 전송해 기밀성을 제공하지 못한다.

진짜와 유사한 가짜 사이트로 접속을 유도해 개인정보를 탈취하는 공격은 피싱(Phishing)이다.

피싱은 주로 이메일이나 메시지로 위장 링크를 보내 신뢰할 수 있는 기관의 사이트처럼 꾸민 페이지에서 계정·금융 정보를 입력하도록 속인다.

• 이블 트윈 어택은 정상 AP를 가장한 가짜 무선 AP로 접속을 유도하는 무선랜 공격이다.
• 언팩킹은 압축·보호된 실행 파일을 원래 코드로 복원하는 분석 기법으로 사이트 위장과 무관하다.
• 사이버 폭력은 온라인상의 괴롭힘 행위로 개인정보 탈취 기법이 아니다.

IDEA로 세션키를 암호화하고 RSA로 전자서명을 수행하며 별도의 인증기관에서 인증서를 발급받지 않아도 되는 전자우편 보안 방식은 PGP이다.

PGP는 사용자들이 서로의 공개키를 직접 신뢰하는 신뢰의 거미줄(Web of Trust) 모델을 사용하므로 중앙 인증기관이 필요 없고 구현이 간단하다.

• PEM은 계층적 인증기관 구조를 전제로 하여 인증서 발급이 필요하므로 설명과 맞지 않는다.
• S/MIME은 X.509 인증서 기반으로 인증기관에 의존하므로 인증서 없이 쓴다는 설명과 어긋난다.
• IMAP은 메일 수신 프로토콜일 뿐 암호화 방식이 아니다.

제시된 프로토콜 중 계층이 다른 것은 ICMP이다.

ICMP는 IP의 오류·제어 메시지를 담당하는 네트워크 계층 프로토콜인 반면, 나머지는 모두 응용 계층에서 동작한다.

• POP3는 메일 수신에 쓰이는 응용 계층 프로토콜이다.
• TFTP는 간단한 파일 전송을 위한 응용 계층 프로토콜이다.
• SNMP는 네트워크 관리를 위한 응용 계층 프로토콜이다.

유닉스에서 네트워크 서비스로의 접속을 호스트 단위로 허용·차단하는 접근제어 도구는 TCP Wrapper이다.

TCP Wrapper는 /etc/hosts.allow와 /etc/hosts.deny 설정에 따라 들어오는 연결의 접근 여부를 결정하고 기록한다.

• APT는 데비안 계열의 패키지 관리 도구로 접근제어와 무관하다.
• DDL은 데이터베이스 스키마를 정의하는 SQL 구문 분류이다.
• UTMP는 현재 로그인한 사용자 정보를 담는 로그 파일이지 접근제어 도구가 아니다.

인젝션 공격에 악용되는 PHP 함수가 아닌 것은 cmd이다.

system, exec, eval은 모두 실제 PHP 함수로, 외부 입력이 걸러지지 않으면 운영체제 명령이나 PHP 코드를 실행시키는 인젝션 취약점의 통로가 된다.

• system은 외부 명령을 실행하고 결과를 출력하는 함수로 OS 명령어 인젝션에 악용된다.
• eval은 문자열을 PHP 코드로 실행하는 함수로 코드 인젝션에 악용된다.
• exec는 외부 명령을 실행하는 함수로 OS 명령어 인젝션에 악용된다.

자원의 소유자가 자신의 권한을 재량에 따라 다른 사용자에게 위임할 수 있는 접근 제어 모델은 임의 접근 제어(DAC)이다.

DAC은 소유자가 접근 권한의 부여·회수를 직접 결정하므로 유연하지만, 권한이 전파되어 통제가 어려워질 수 있다.

• 강제적 접근 제어는 보안 등급·분류에 따라 시스템이 접근을 강제하며 소유자가 임의로 권한을 넘길 수 없다.
• 역할 기반 접근 제어는 사용자의 역할에 따라 권한을 부여한다.
• 속성 기반 접근 제어는 사용자·자원·환경의 속성 조합으로 접근을 결정한다.

스택 가드가 버퍼 오버플로우를 탐지하기 위해 사용하는 기술은 랜덤 카나리(Random Canary)이다.

스택 가드는 복귀 주소 앞에 예측 불가능한 난수 카나리 값을 넣어 두고 함수 종료 시 이 값의 변조 여부를 검사해 스택 훼손을 탐지하므로, 공격자가 값을 미리 알아내 그대로 덮어쓰기 어렵다.

• Full Canary는 스택 가드의 카나리 기법으로 정의된 명칭이 아니다.
• Buffer Canary도 스택 가드의 카나리 기법으로 정의된 명칭이 아니다.
• Stack Canary는 스택에 삽입되는 보호 값을 가리키는 일반 명칭일 뿐, 스택 가드가 쓰는 구체적 기법명이 아니다.

국제 표준으로서 EAL(평가보증등급)로 보안 수준을 평가하고, 보안 목적·보안 기능 요구사항·보안 보증 요구사항의 세 부분으로 구성되는 평가 기준은 공통평가기준(CC, Common Criteria)이다.

CC는 ISO/IEC 15408 국제 표준으로 제정되어 여러 국가가 상호 인정하며, 평가 결과를 EAL 등급으로 표현한다.

• TCSEC은 미국의 단일 국가 기준으로 EAL 등급 체계를 사용하지 않는다.
• ITSEC은 유럽 국가들의 기준으로 CC 이전 단계이며 국제 표준이 아니다.
• ISO/IEC 27001은 제품이 아니라 정보보호 관리체계를 인증하는 표준이다.

옳지 않은 것은 chmask라는 명령어로 설명한 항목이다.

파일·디렉토리 생성 시 부여되는 기본 권한을 조정하는 명령은 umask이며, chmask라는 명령은 존재하지 않는다.

• chmod는 파일·디렉토리의 권한을 변경하는 명령으로 설명이 옳다.
• chown은 소유자와 소유그룹을 변경하는 명령으로 설명이 옳다.
• chgrp는 소유그룹을 변경하는 명령으로 설명이 옳다.

데이터 링크 계층에서 동작하지 않는 것은 IPSec이다.

IPSec은 IP 패킷을 보호하는 네트워크 계층(3계층) 보안 프로토콜인 반면, 나머지는 모두 2계층 터널링 프로토콜이다.

• L2F는 2계층 터널링을 위한 프로토콜이다.
• L2TP는 L2F와 PPTP를 통합한 2계층 터널링 프로토콜이다.
• PPTP는 PPP 프레임을 캡슐화하는 2계층 터널링 프로토콜이다.

옳지 않은 것은 송·수신 측이 서로 상대를 상호 인증하여 메시지를 전송한다는 설명이다.

기본 SMTP는 상대방을 인증하는 절차 없이 메일을 전달하는 구조여서, 발신자 위조가 쉬운 것이 근본적 취약점이다.

• SMTP가 2진 데이터를 텍스트 형태로 변환해 전송한다는 설명은 옳다.
• 서버가 일정 크기 이상의 메일을 거부할 수 있다는 설명은 옳다.
• 주로 TCP 포트 25를 사용한다는 설명은 옳다.

옳지 않은 것은 SAM이 보안 토큰 발급과 저장까지 수행한다고 한 설명이다.

SAM은 로컬 계정과 그룹의 보안 정보(비밀번호 해시 등)를 저장하는 데이터베이스이며, 로그인 성공 시 보안 토큰을 발급하는 역할은 LSA가 담당한다.

• SRM이 로컬 컴퓨터의 보안을 제어하며 보안 서비스를 제공한다는 설명은 옳다.
• LSA가 사용자 모드에서 로컬 보안 정책을 집행한다는 설명은 옳다.
• AD가 네트워크 자원을 디렉토리에 저장해 접근을 돕는다는 설명은 옳다.

ITU-T 권고안에서 정한 공개키 인증서 표준 규격은 X.509이다.

X.509는 인증서의 구조와 필드를 규정하며, PKI와 SSL/TLS 등에서 널리 쓰이는 공개키 인증서 표준이다.

• RFC 822는 인터넷 전자우편 메시지 형식을 규정한 표준이다.
• X.501은 디렉토리 서비스의 모델을 다루는 권고안이다.
• X.25는 패킷 교환망 인터페이스에 관한 표준이다.

정보보호와 개인정보보호 관리체계를 통합한 국내 인증제도는 ISMS-P이다.

ISMS-P는 기존 정보보호 관리체계 인증(ISMS)과 개인정보보호 관리체계 인증(PIMS)을 통합한 제도로, 개인정보보호 영역까지 포함해 인증한다.

• P-ISMS는 ISMS-P의 앞뒤를 바꾼 명칭으로 실제 운영되는 인증제도가 아니다.
• PDCA-K는 관리체계의 순환 모델(PDCA)을 딴 명칭일 뿐 국내 인증제도가 아니다.
• ISMS-K는 실제 운영되는 국내 인증제도의 명칭이 아니다.

옳지 않은 것은 FAT32에서 개별 폴더·파일에 접근 제어를 설정할 수 있다는 설명이다.

파일·폴더 단위의 접근 제어 목록(ACL)을 지원하는 것은 NTFS이며, FAT 계열은 이러한 권한 설정 기능을 제공하지 않는다.

• FAT16이 최대 2GB까지 지원한다는 설명은 일반적으로 통용되는 값으로 옳다.
• FAT32가 32비트 테이블을 사용한다는 설명은 옳다.
• NTFS가 윈도우 NT 계열에서 지원된다는 설명은 옳다.

SSL 레코드 프로토콜의 처리 과정에 해당하지 않는 것은 정규화(Normalization)이다.

SSL 레코드 프로토콜은 상위 데이터를 단편화 → 압축 → MAC 부가 → 암호화 순으로 처리하며, 정규화는 이 과정에 포함되지 않는다.

• 단편화는 데이터를 레코드 단위로 나누는 과정으로 처리 단계에 포함된다.
• 압축은 선택적으로 수행되는 처리 단계에 포함된다.
• 메시지 인증 코드 생성·부가는 무결성 보장을 위한 처리 단계에 포함된다.

SDP(서비스 발견 프로토콜)를 이용해 블루투스 장치의 종류와 모델 정보를 수집·식별하는 정보 탐색 활동은 블루프린팅(Blueprinting)이다.

블루프린팅은 공격에 앞서 대상 장치의 특성을 파악하는 정보 수집 단계에 해당하며, 직접적인 데이터 탈취나 장치 제어를 수행하지는 않는다.

• 블루스나프는 장치에 저장된 전화번호부·일정 등 데이터를 몰래 빼내는 공격이다.
• 블루버그는 장치를 장악해 통화·메시지 등을 원격 조종하는 공격이다.
• 블루재킹은 상대 장치로 원치 않는 메시지를 보내는 공격이다.