유닉스에서 사용자 패스워드의 해시 값이 저장되는 파일은 /etc/shadow이다.
예전에는 /etc/passwd 에 해시가 함께 기록됐지만, 이 파일은 모든 사용자가 읽을 수 있어 해시가 노출되는 문제가 있었다. 그래서 해시를 루트만 읽을 수 있는 /etc/shadow 로 분리하고, /etc/passwd 의 패스워드 필드에는 x 표시만 남긴다.
- /etc/passwd: 사용자명·UID·GID·홈 디렉터리·로그인 셸 등 계정 정보를 담는다.
- /etc/profile: 로그인 시 실행되는 시스템 전역 셸 환경 설정 파일이다.
- /etc/group: 그룹 이름·GID·그룹 구성원 정보를 담는다.
자판과 회전자(로터)를 이용해 암·복호화하는 전기·기계식 장치는 에니그마(Enigma)이다.
에니그마는 키를 누를 때마다 회전자가 돌아 치환 규칙이 바뀌는 다표식 치환 암호 기계로, 제2차 세계대전 때 독일군이 사용하였다.
- 스키테일(Scytale): 막대에 띠를 감아 글자를 적는 고대의 전치 암호 도구로, 회전자가 없다.
- 아핀(Affine): 수식으로 문자를 바꾸는 단일 치환 암호로, 기계 장치가 아니다.
- 비제니어(Vigenere): 키워드를 반복 적용하는 다표식 치환 암호로, 손으로 표를 써서 수행하는 고전 암호이다.
RFC 2104 가 정의한 메시지 인증 코드 생성 알고리즘은 HMAC이며, 해시 함수로 SHA-1 을 쓰면 HMAC-SHA1 이 된다.
HMAC 은 비밀 키와 메시지를 해시 함수에 두 번(내부·외부 패딩) 넣어 MAC 을 만드는 방식으로, 해시 함수를 바꿔 끼울 수 있다.
- Elliptic Curve Cryptography: 타원곡선 위의 이산대수 문제에 기반한 공개키 암호 체계이다.
- ElGamal: 이산대수 문제에 기반한 공개키 암호·전자서명 방식이다.
- RC4: 바이트 단위로 키 스트림을 만드는 대칭 스트림 암호이다.
불리한 증거의 수집·분석을 사전에 막는 활동은 안티 포렌식(Anti Forensic)이다.
데이터 은닉, 데이터 암호화, 데이터 완전 삭제 등으로 증거 확보 자체를 방해하는 것이 특징이다.
- 임베디드 포렌식: 휴대전화·내비게이션 등 임베디드 기기에서 증거를 수집·분석하는 분야이다.
- 디스크 포렌식: 하드디스크 등 저장 매체에서 삭제 파일 복구 등으로 증거를 찾는 분야이다.
- 시스템 포렌식: 운영체제·로그 등 시스템 정보를 분석해 증거를 찾는 분야이다.
옳은 설명은 접근제어 — 허가된 사용자가 허가된 방식으로 자원에 접근하도록 하는 것이다.
나머지는 정의가 다른 요건과 뒤바뀌었거나 의미가 반대로 서술되어 있다.
- 무결성 설명: 허가되지 않은 자에게 노출되지 않음을 보장하는 것은 기밀성이다. 무결성은 정보가 무단으로 변경되지 않음을 보장한다.
- 인증 설명: 암호화로 비밀을 보장해 권한 없는 자가 내용을 확인할 수 없게 하는 것 역시 기밀성이다. 인증은 통신 상대나 메시지 출처가 진짜임을 확인하는 것이다.
- 부인봉쇄 설명: 부인봉쇄는 행위를 한 뒤 그 사실을 부인할 수 없도록 하는 것으로, 부인할 수 있도록 한다는 서술은 정반대이다.
무선 인터넷 보안 표준이 아닌 것은 X.509이다.
X.509 는 ITU-T 가 정한 공개키 인증서의 형식 표준으로, PKI 전반에서 쓰이며 무선 랜 보안 표준이 아니다.
- WEP: 초기 무선 랜(IEEE 802.11)의 RC4 기반 암호화 방식이다.
- WPA-PSK: WEP 의 취약점을 보완한 WPA 를 사전 공유 키 방식으로 운용하는 무선 보안 방식이다.
- 802.11i: 무선 랜 보안을 강화한 IEEE 표준으로, WPA2 의 기반이 된다.
root : x : 0(㉠) : 0(㉡) : root : /root(㉢) : /bin/bash(㉣)
마지막 필드 /bin/bash 는 사용자 로그인 쉘이다.
/etc/passwd 의 각 행은 계정명 : 패스워드 : UID : GID : 설명 : 홈 디렉터리 : 로그인 쉘 순서로 구성되며, 패스워드 자리의 x 는 실제 값이 /etc/shadow 에 있음을 뜻한다.
- 첫 번째 0 을 그룹 GID 로 본 설명: 세 번째 필드는 사용자 UID 이다.
- 두 번째 0 을 사용자 UID 로 본 설명: 네 번째 필드는 소속 그룹 GID 이다.
- /root 를 계정 이름으로 본 설명: 여섯 번째 필드는 홈 디렉터리이다.
• 국가정보화 기본계획은 ( ㉡ )이 국가와 지방자치단체의 부문계획을 종합하여 정보통신 진흥 및 융합 활성화 등에 관한 특별법 제7조에 따른 정보통신 전략위원회의 심의를 거쳐 수립·확정한다.
시험 당시 ｢국가정보화 기본법｣상 국가정보화 기본계획은 5년마다 수립하며, 과학기술정보통신부장관이 부문계획을 종합해 수립·확정한다.
2017년 정부조직 개편으로 미래창조과학부의 업무가 과학기술정보통신부로 넘어가, 기본계획의 수립 주체도 과학기술정보통신부장관이 되었다.
- 3년 주기로 본 연결: 기본계획의 수립 주기는 5년이다.
- 행정안전부장관으로 본 연결: 행정안전부는 전자정부 등을 맡으며, 국가정보화 기본계획의 수립·확정 주체가 아니다.
페이스텔 구조를 따르는 알고리즘은 DES이다.
DES 는 64비트 블록을 좌우 32비트로 나누고, 오른쪽 절반에 라운드 함수를 적용한 결과를 왼쪽과 XOR 한 뒤 좌우를 바꾸는 과정을 16라운드 반복한다. 이 구조 덕분에 암호화와 복호화가 같은 구조로 동작한다.
- AES: 블록을 반으로 나누지 않고 전체에 치환·순열을 적용하는 SPN 구조이다.
- RSA: 소인수분해 문제에 기반한 공개키 암호로, 블록 암호 구조와 무관하다.
- Diffie-Hellman: 이산대수 문제에 기반한 키 교환 방식이다.
옳지 않은 것은 AH 의 페이로드와 패딩이 기밀성 범위에 속한다는 설명이다. AH 는 암호화를 하지 않으므로 기밀성을 제공하지 않는다.
AH 는 인증·무결성·재전송 방지만 제공하고, 페이로드 암호화(기밀성)는 ESP가 담당한다. 페이로드·패딩을 암호화 범위에 두는 것은 ESP 의 특징이다.
- AH 가 메시지 무결성 검사와 재연 공격 방지를 제공한다는 설명은 옳다.
- ESP 가 메시지 인증과 암호화를 함께 제공한다는 설명은 옳다.
- ESP 가 전송 모드와 터널 모드를 모두 지원한다는 설명은 옳다.
옳지 않은 지침은 관리자 권한으로 단말기를 관리하는 것이다.
루팅·탈옥 등으로 관리자 권한을 얻으면 운영체제의 보안 통제가 무력화되어, 악성 앱이 시스템 영역에 접근할 위험이 커진다. 일반 사용자 권한으로 쓰는 것이 최소 권한 원칙에 맞다.
- 스마트폰과 연결되는 PC 에도 백신을 설치하는 것은 PC 를 통한 감염 경로를 막는 올바른 지침이다.
- 블루투스를 필요할 때만 켜는 것은 무선 경로 공격 노출을 줄이는 올바른 지침이다.
- 의심스러운 앱을 내려받지 않는 것은 악성 앱 설치를 막는 기본 지침이다.
• 이미지 파일의 경우 원본 이미지와 대체 이미지의 차이를 육안으로 구별하기 어렵다.
정보를 이미지·문장 등의 파일 속에 감지할 수 없게 숨겨 전달하는 기술은 스테가노그래피(Steganography)이다.
암호화가 내용을 읽을 수 없게 만드는 것이라면, 스테가노그래피는 정보가 존재한다는 사실 자체를 감추며, 이미지의 하위 비트(LSB)에 정보를 넣는 방식이 대표적이다.
- 인증서: 공개키와 소유자 정보를 인증기관이 서명해 묶은 전자문서이다.
- 전자서명: 개인키로 서명해 작성자 인증과 부인방지를 제공한다.
- 메시지 인증 코드: 공유 비밀키로 생성해 메시지의 무결성과 출처를 확인한다.
위협과 취약성을 분석해 비용 대비 적절한 대책으로 위험을 수용 가능한 수준으로 유지하는 과정은 위험관리이다.
위험관리는 자산 식별 → 위협·취약성 분석 → 위험 평가 → 보호 대책 선정 → 잔여 위험 수용의 흐름으로 이루어진다.
- 업무 연속성 계획: 재해·장애가 발생해도 핵심 업무를 지속·복구하기 위한 계획이다.
- 정책과 절차: 보안 활동의 방향과 수행 방법을 문서로 정한 것으로, 위험을 분석·평가해 대책을 마련하는 과정 자체를 가리키지 않는다.
- 탐지 및 복구 통제: 사고를 발견하고 원상태로 되돌리는 개별 통제 유형이다.
개인정보의 보호와 관리·감독을 맡는 임원(또는 담당 부서의 장)은 개인정보 보호책임자이다.
｢개인정보 보호법｣은 개인정보처리자가 개인정보 처리에 관한 업무를 총괄해서 책임질 자로 개인정보 보호책임자를 지정하도록 하고, 민간의 경우 사업주·대표자 또는 임원(임원이 없으면 개인정보 담당 부서의 장)을 지정하게 한다.
- 수탁자: 개인정보처리자로부터 개인정보 처리 업무를 위탁받아 처리하는 자이다.
- 정보통신서비스 제공자: 전기통신사업자 등 정보통신서비스를 제공하는 자로, 정보통신망법상의 개념이다.
- 개인정보취급자: 개인정보처리자의 지휘·감독을 받아 실제로 개인정보를 처리하는 임직원 등이다.
XSS 에 대한 옳은 설명은 악성 스크립트를 파라미터나 게시글에 넣어 사용자 브라우저에서 실행되게 하는 공격이라는 것이다.
XSS 는 서버가 입력값을 검증·이스케이프하지 않고 그대로 출력할 때 발생하며, 피해자의 웹 브라우저에서 스크립트가 실행되어 쿠키 탈취 등이 일어난다.
- 다운로드 프로그램이 파일 이름을 필터링하지 않아 생기는 취약점은 파일 다운로드(경로 조작) 취약점이다.
- 네트워크 통신을 조작해 도청·변조하는 것은 중간자 공격·스니핑 계열이다.
- 데이터베이스를 조작하는 구문을 보내 반응으로 기밀 정보를 얻는 것은 SQL 인젝션이다.
영국·독일·네덜란드·프랑스가 함께 제정한 유럽형 보안 평가 기준은 ITSEC이다.
ITSEC 은 각국 평가 기준이 달라 생기는 중복 평가의 낭비를 줄이고 평가 결과의 상호 인정을 위해 유럽 국가들이 통합한 기준이다.
- CC: 미국·유럽 등의 기준을 통합한 국제 표준(ISO/IEC 15408) 평가 기준이다.
- TCSEC(Orange Book): 미국 국방부가 제정한 평가 기준이다.
- ISO/IEC JTC 1: 정보기술 분야의 국제 표준을 만드는 합동 기술위원회로, 평가 기준 자체가 아니다.
개인정보처리자를 대상으로 개인정보보호 관리체계와 보호조치 이행을 심사해 인증마크를 주는 제도는 PIPL(Personal Information Protection Level)이다.
PIPL은 ｢개인정보 보호법｣에 근거한 개인정보보호 인증제로, 이후 PIMS·ISMS와 통합되어 ISMS-P로 바뀌었다.
- SECU-STAR: 기업의 정보보호 준비도를 등급으로 평가하던 제도로, 개인정보처리자 인증이 아니다.
- EAL: 공통평가기준(CC)에서 정보보호 제품의 보증 수준을 나타내는 등급이다.
- ISMS: 정보보호 관리체계 인증으로, 개인정보에 한정하지 않고 정보 자산 전반의 관리체계를 대상으로 한다.
옳지 않은 것은 PIMS 인증 유효기간이 2년이라는 설명이다. PIMS 인증의 유효기간은 3년이다.
PIMS 는 기업이 개인정보 보호 관리체계를 갖추었는지 인증하던 제도로, 이후 ISMS 와 통합되어 ISMS-P로 바뀌었다.
- 한국인터넷진흥원이 인증기관으로 지정되어 있다는 설명은 옳다.
- 인증 신청이 민간 기업의 자율에 맡겨졌다는 설명은 옳다.
- 인증 취득 기업이 개인정보 사고 시 과징금·과태료를 경감받을 수 있다는 설명은 옳다.
㉠은 오용탐지기법·㉡은 False Negative, ㉢은 이상탐지기법·㉣은 False Positive 이다.
오용탐지는 알려진 공격 패턴(시그니처)과 일치할 때만 경보하므로 오탐은 적지만, 새로운 공격을 놓쳐 미탐(False Negative)이 상대적으로 많다.
이상탐지는 정상 상태에서 벗어난 행위를 경보하므로 새로운 공격도 잡을 수 있지만, 정상 행위를 공격으로 판단하는 오탐(False Positive)이 상대적으로 많다.
- ㉠을 이상탐지기법으로 본 연결: 미리 입력한 공격 패턴과 대조하는 것은 오용탐지이다.
- ㉡을 False Positive 로 본 연결: 새로운 공격을 탐지하지 못하는 단점과 이어지는 것은 미탐(False Negative)이다.
정성적 분석 방법이 아닌 것은 과거자료 접근법이다.
과거자료 접근법은 과거 사고 자료를 바탕으로 위협 발생 빈도와 손실을 수치로 추정하는 정량적 분석 방법이다.
- 델파이법: 전문가 집단의 의견을 반복 수렴해 위험을 평가하는 정성적 방법이다.
- 퍼지 행렬법: 위험 요소를 퍼지 개념의 언어적 값으로 표현해 평가하는 정성적 방법이다.
- 순위 결정법: 위험 요소에 상대적 순위를 매겨 비교하는 정성적 방법이다.