데이터를 보낸 측이 정당한 송신자가 아닐 때 수신자가 이를 확인할 수 있어야 한다는 사례가 인증성을 보장하는 사례이다.
인증성은 통신 상대나 메시지 출처가 주장하는 그 실체가 맞는지 진짜임을 확인할 수 있는 성질이다.
- 성적·주민등록번호를 인가된 사람에게만 공개하는 것은 기밀성 사례이다.
- 환자 기록이 정확하고 변조되지 않았음을 보장하는 것은 무결성 사례이다.
- 허가받은 고객이 웹 사이트에 안정적으로 접근하게 하는 것은 가용성 사례이다.
영문 대·소문자, 숫자, 특수문자가 모두 섞인 Fl66ower 계열 패스워드가 가장 안전하다.
패스워드는 문자 종류를 다양하게 섞을수록 경우의 수가 커져 무차별 대입·사전 공격에 강해진다.
- flowerabc는 소문자로만 된 사전 단어 조합이라 사전 공격에 취약하다.
- P1234567#은 특수문자가 있지만 연속된 숫자 패턴이어서 추측하기 쉽다.
- flower777은 사전 단어 뒤에 반복 숫자를 붙인 흔한 패턴이다.
…중략…
2. 주요정보통신기반시설에 대하여 데이터를 파괴하거나 주요정보통신기반시설의 운영을 방해할 목적으로 컴퓨터 바이러스·논리폭탄 등의 프로그램을 투입하는 행위
제28조(벌칙)
① 제12조의 규정을 위반하여 주요정보통신기반시설을 교란·마비 또는 파괴한 자는 10년 이하의 징역 또는 1억원 이하의 벌금에 처한다.
② 제1항의 미수범은 처벌한다.
제시된 조문이 금지하는 행위는 컴퓨터 바이러스·논리폭탄 등 악성 프로그램을 투입해 기반시설을 교란·마비시키는 것이므로, 규정 목적은 웜 피해 방지이다.
웜·바이러스처럼 스스로 퍼지며 시스템을 파괴·마비시키는 악성코드로부터 주요정보통신기반시설을 보호하려는 조항이며, 미수범까지 처벌해 예방 효과를 높인다.
- 명예훼손 방지: 정보통신망에서의 비방·명예훼손은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 등이 다루며, 이 조문의 대상이 아니다.
- 개인정보 보호 침해 방지: 개인정보 처리·유출은 「개인정보 보호법」 등의 영역으로, 조문은 데이터 파괴·운영 방해만 규정한다.
- 인터넷 사기 방지: 기망에 의한 재산상 이득 취득을 다루는 내용이 조문에 없다.
기업의 개인정보 보호 관리체계를 점검해 인증을 부여하던 KISA 시행 제도는 PIMS(개인정보보호 관리체계 인증)이다.
PIMS는 개인정보 보호 활동을 체계적·지속적으로 수행하기 위한 보호조치 체계를 심사하는 국내 인증으로, 이후 ISMS와 통합되어 ISMS-P로 이어졌다.
- TCSEC: 미국 국방부의 운영체제 보안 평가 기준(Orange Book)으로, 개인정보 보호 관리체계 인증이 아니다.
- ITSEC: 유럽 국가들이 만든 정보시스템 보안 평가 기준으로, 제품·시스템의 보안성을 평가한다.
- CC: 국제 표준(ISO/IEC 15408) 정보보호 제품 평가 기준으로, 기업의 개인정보 관리체계를 인증하는 제도가 아니다.
메시지 내용 공개는 전송 내용을 엿듣기만 하는 소극적 공격이므로 적극적 공격이 아니다.
소극적 공격은 데이터를 변경하지 않고 도청·트래픽 분석만 하며, 적극적 공격은 데이터 흐름을 변조·위조·방해한다.
- 신분위장은 다른 실체로 행세하는 적극적 공격이다.
- 재전송은 획득한 데이터를 다시 보내 비인가 효과를 얻는 적극적 공격이다.
- 서비스 거부는 통신 설비의 정상 사용을 방해하는 적극적 공격이다.
Wi-Fi에서 위장 AP로 사용자 정보를 가로채는 수법은 피싱이 아니라 위장 AP(이블 트윈)를 이용한 중간자 공격에 해당한다.
피싱은 신뢰할 만한 기관을 사칭한 메일·가짜 사이트로 사용자를 속여 개인·금융 정보를 스스로 입력하게 만드는 사회공학 기법이다.
- Private Data와 Fishing의 합성어로 기관을 사칭해 금전적 이익을 노린다는 설명은 피싱의 정의이다.
- 주로 이메일을 이용한다는 설명도 피싱의 전형적 수단에 해당한다.
- 가짜 사이트를 진짜로 착각하게 해 아이디·패스워드를 노출시킨다는 설명도 피싱의 수법이다.
ARIA는 국내 기관(국가보안기술연구소 주도)이 개발해 국가 표준으로 채택된 블록 암호이다.
나머지는 모두 해외에서 개발된 알고리즘이다.
- IDEA는 스위스에서 개발된 블록 암호이다.
- AES는 미국 NIST가 공모를 거쳐 채택한 표준 블록 암호이다.
- Skipjack은 미국 NSA가 개발한 블록 암호이다.
인증서는 등록기관(RA)이 아니라 인증기관(CA)이 발행하므로 RA가 발행한다는 설명이 옳지 않다.
RA는 사용자의 신원 확인과 등록을 대행하고 그 요청을 CA에 전달하는 역할을 한다.
- PKI는 공개키 암호시스템을 안전하게 사용·관리하기 위한 기반 구조라는 설명은 옳다.
- 인증서 폐지 여부를 CRL과 OCSP로 확인한다는 설명은 옳다.
- 인증서가 버전, 일련번호, 서명, 발급자, 유효기간 등의 필드를 갖는다는 설명은 옳다.
RSA는 큰 수의 소인수분해가 어렵다는 점에 안전성의 근거를 둔다.
나머지 서명 방식은 소인수분해가 아니라 이산대수 문제의 어려움에 기초한다.
- ElGamal은 유한체 위의 이산대수 문제에 기초한다.
- KCDSA는 국내 표준 서명 방식으로 이산대수 문제에 기초한다.
- ECDSA는 타원곡선 위의 이산대수 문제에 기초한다.
같은 환경에서 같은 결과가 나오도록 재현 가능해야 한다는 것은 재현의 원칙이므로 연계보관성 설명으로 옳지 않다.
연계보관성은 증거의 획득·이송·분석·보관·제출 각 단계에서 담당자와 책임이 명확히 이어져야 한다는 원칙이다.
- 정당성의 원칙은 증거가 적법한 절차로 획득되어야 한다는 것이다.
- 신속성의 원칙은 휘발성 정보 등이 사라지기 전에 신속히 획득해야 한다는 것이다.
- 무결성의 원칙은 획득한 증거가 위·변조되지 않았음을 입증할 수 있어야 한다는 것이다.
Land 공격은 순서번호 조작이 아니라 출발지 IP 주소를 목적지 IP 주소와 같게 위조해 보내는 공격이므로 설명이 옳지 않다.
대상 시스템은 자기 자신에게 응답을 계속 보내게 되어 자원이 고갈된다.
- DDoS는 공격자·마스터·에이전트 구조로 다수 PC가 대규모 DoS를 수행한다는 설명은 옳다.
- Trinoo는 1999년 미네소타대학교 사고에 사용되었고 기본적으로 UDP 플러딩을 수행한다는 설명은 옳다.
- SYN Flooding은 SYN 패킷만 보내 연결 대기 자원을 점유한다는 설명은 옳다.
웹 브라우저와 웹 서버 사이의 안전한 전송에는 SSL이 사용된다.
SSL(현재는 TLS로 발전)은 전송 계층 위에서 암호화·인증을 제공하며, HTTP에 적용한 것이 HTTPS이다.
- PGP는 전자우편 보안에 쓰인다.
- SSH는 원격 접속(원격 셸) 보안에 쓰인다.
- S/MIME는 MIME 기반 전자우편 보안 표준이다.
주요정보통신기반시설의 지정은 정보통신서비스 제공자의 정보보호 최고책임자가 총괄하는 업무가 아니다.
주요정보통신기반시설 지정은 ｢정보통신기반 보호법｣에 따라 관계 중앙행정기관의 장이 하는 일이다.
- 정보보호관리체계의 수립 및 관리·운영은 정보보호 최고책임자의 총괄 업무이다.
- 정보보호 취약점 분석·평가 및 개선은 정보보호 최고책임자의 총괄 업무이다.
- 정보보호 사전 보안성 검토는 정보보호 최고책임자의 총괄 업무이다.
정보주체는 개인정보의 열람뿐 아니라 사본의 발급도 요구할 수 있으므로 사본 발급을 요구할 수 없다는 설명이 옳지 않다.
｢개인정보 보호법｣은 정보주체의 권리로 정보를 제공받을 권리, 동의 선택권, 열람(사본 발급 포함) 요구권, 정정·삭제·처리정지 요구권, 피해 구제를 받을 권리 등을 규정한다.
- 개인정보 처리에 관한 정보를 제공받을 권리는 정보주체의 권리이다.
- 처리에 관한 동의 여부·동의 범위를 선택·결정할 권리는 정보주체의 권리이다.
- 처리로 발생한 피해를 신속·공정한 절차로 구제받을 권리는 정보주체의 권리이다.
침해사고 발생 시 신속히 대처해 손상을 최소화하고 추가 손상을 막는 단계는 대응 단계이다.
대응 단계에서는 피해 확산 차단(격리·봉쇄)과 같은 즉각적 조치가 이루어진다.
- 보안탐지 단계는 침해 징후를 발견·식별하는 단계이다.
- 조사와 분석 단계는 사고의 원인과 범위를 밝히는 단계이다.
- 사후검토 단계는 사고 처리 후 재발 방지 대책과 교훈을 정리하는 단계이다.
OPP(OBEX Push Profile) 기능을 악용해 인증 없이 주소록·달력 등 파일을 열람하는 공격은 블루스나프(BlueSnarf)이다.
블루스나프는 원래 파일 전송(Push)용인 OPP에서 파일을 요청(Get)해 장치의 임의 파일에 접근하는 정보 탈취 공격이다.
- 블루프린팅(BluePrinting): 블루투스 장치를 검색해 주소·종류·서비스 정보를 수집하는 사전 탐색 공격이다.
- 블루버그(BlueBug): 블루투스 연결 취약점을 이용해 장치를 원격 제어(전화 걸기·문자 전송 등)하는 공격이다.
- 블루재킹(BlueJacking): 근처 장치에 명함 등의 형태로 원치 않는 메시지를 보내는 스팸성 공격이다.
비기밀 데이터로부터 기밀 데이터를 유추해 내는 것을 막는 요구사항은 추론 방지이다.
통계 질의 등 허용된 정보를 조합해 공개되지 않은 값을 알아내는 추론 공격을 막기 위한 것이다.
- 암호화는 저장·전송 데이터를 읽을 수 없게 해 기밀성을 보호한다.
- 무결성 보장은 데이터의 부당한 변경을 막는다.
- 접근통제는 사용자별로 데이터 접근 권한을 제한한다.
IPSec은 OSI 3계층(네트워크 계층)에서 동작하는 터널링 기술이라는 설명이 옳다.
PPTP, L2F, L2TP는 모두 PPP 프레임을 캡슐화하는 2계층(데이터링크 계층) 터널링 프로토콜이다.
- PPTP를 1계층 기술이라 한 설명은 2계층이므로 틀리다.
- L2F를 3계층 기술이라 한 설명은 2계층이므로 틀리다.
- L2TP를 1계층 기술이라 한 설명은 2계층이므로 틀리다.
미국 NIST와 캐나다 CSE가 공동 운영하는 암호모듈 검증 제도는 CMVP이다.
CMVP는 암호모듈 보안 요구사항 표준(FIPS 140 계열)에 따라 암호모듈의 안전성을 검증한다.
- COBIT은 IT 거버넌스·통제를 위한 프레임워크이다.
- CMM은 소프트웨어 개발 프로세스의 성숙도 모델이다.
- ITIL은 IT 서비스 관리의 모범 사례 체계이다.
Windows 7의 고급 보안이 포함된 Windows 방화벽은 인바운드 규칙과 아웃바운드 규칙을 모두 설정할 수 있다는 설명이 옳다.
나머지 설명은 권한 종류, 기능 탑재 시기, 쿠키 설정 의미를 잘못 서술했다.
- Windows 7의 파일·폴더 권한에는 모든 권한·수정·읽기·쓰기 외에 읽기 및 실행 등이 더 있어 4가지라는 설명은 틀리다.
- BitLocker는 Windows XP가 아니라 Windows Vista부터 탑재되었다.
- Internet Explorer 개인정보 수준 ‘낮음’은 일부 제3자 쿠키를 여전히 차단하며, 모든 쿠키 허용은 별도의 최저 수준 설정이다.