26년 1회차

AES는 미국 NIST가 표준으로 채택한 대칭키 블록 암호로, 국내에서 개발된 알고리즘이 아니다.

AES는 벨기에 연구자가 설계한 Rijndael을 미국 연방 표준으로 선정한 것이다. 나머지는 모두 국내(한국)에서 개발된 대칭키 블록 암호이다.

• LEA: 국가보안기술연구소가 개발한 경량 블록 암호로, 경량·고속 환경을 겨냥한다.
• ARIA: 학계·연구소·국가기관이 공동 개발한 국내 표준 블록 암호이다.
• SEED: 한국정보보호센터(현 한국인터넷진흥원, KISA) 주도로 개발된 국내 블록 암호이다.

UDP는 전송 계층(4계층) 프로토콜이므로 네트워크 계층에 포함되지 않는다.

UDP는 TCP와 함께 포트 번호로 프로세스 간 전달을 담당하는 전송 계층 프로토콜이다. 나머지는 일반적으로 네트워크 계층 프로토콜로 분류된다.

• ARP: IP 주소를 MAC 주소로 변환하는 주소 해석 프로토콜로, 네트워크 계층에 함께 분류한다.
• OSPF: 링크 상태 기반의 라우팅 프로토콜로 네트워크 계층에서 경로를 결정한다.
• RARP: MAC 주소로부터 IP 주소를 얻는 역주소 해석 프로토콜로, 네트워크 계층에 분류한다.

(가)는 허브, (나)는 스위치, (다)는 라우터이다.

각 장비는 동작 계층과 전달 기준으로 구분된다.

• (가) 허브: 물리 계층 장비로 주소를 보지 않고 수신 신호를 모든 포트로 내보낸다.
• (나) 스위치: 데이터 링크 계층 장비로 MAC 주소 테이블을 참조해 목적 포트로만 프레임을 전달한다.
• (다) 라우터: 네트워크 계층 장비로 IP 주소를 보고 서로 다른 네트워크 사이의 경로를 결정한다.

ESP 터널모드에서 암호화 범위는 (다), 인증 범위는 (나)이다.

터널모드는 원래 IP 패킷 전체를 새 IP 헤더로 감싸므로, Original IP header부터 ESP trailer까지가 암호화된다. 인증(무결성 검사)은 여기에 ESP header를 더한 범위(ESP header ~ ESP trailer)이며, 그 결과값이 ESP ICV로 붙는다.

• (가)는 ESP ICV까지 포함하지만, ICV는 인증 결과값 자체이므로 암호화·인증 대상이 아니다.
• ESP header는 SPI·순서번호를 담아 수신 측이 복호화 전에 읽어야 하므로 암호화 범위에 들어가지 않는다 — 암호화를 (가)로 짝지은 조합은 틀리다.
• (다)는 ESP header를 빠뜨려 인증 범위로는 좁다 — 인증을 (다)로 짝지은 조합은 틀리다.
• New IP header는 ESP의 암호화·인증 어느 쪽에도 포함되지 않는다.

상호 인증과 암호·MAC 알고리즘, 암호키 협상을 담당하는 것은 Handshake Protocol이다.

Handshake Protocol은 애플리케이션 데이터 전송 전에 서버·클라이언트 인증, 암호 스위트 협상, 키 교환을 수행해 세션 매개변수를 확정한다.

• Alert Protocol: 오류나 경고 상황을 상대에게 알리는 역할을 한다.
• Record Protocol: 상위 데이터를 단편화·압축하고 MAC 부가 및 암호화를 수행하는 전달 계층이다.
• Change Cipher Spec Protocol: 협상된 암호 설정을 이후 통신부터 적용하라고 알리는 단일 메시지 프로토콜이다.

같은 조건에서 같은 결과가 나와야 증거 능력을 갖는다는 것은 재현의 원칙이다.

재현의 원칙은 증거나 분석 결과가 동일한 환경·절차에서 반복 실행 시 같은 결과로 재현되어야 한다는 원칙이다.

• 신속성의 원칙: 휘발성 증거가 사라지기 전에 수사 과정이 빠르게 진행되어야 한다는 원칙이다.
• 무결성의 원칙: 수집된 증거가 위·변조되지 않았음을 해시값 등으로 입증해야 한다는 원칙이다.
• 연계 보관성의 원칙: 증거의 획득·이송·분석·보관·제출 전 과정의 담당자와 이력이 명확해야 한다는 원칙이다.

저장형 XSS의 순서는 (라) → (다) → (나) → (가) → (마)이다.

공격자가 먼저 악성 코드를 게시물에 저장해 두어야 이후 사용자의 열람과 실행이 일어난다.

• (라) 공격자가 취약한 서버에 XSS 코드가 담긴 게시물을 작성·저장한다.
• (다) 사용자가 그 게시물을 클릭한다.
• (나) 웹 서버가 XSS 코드가 포함된 글을 사용자에게 전달한다.
• (가) 사용자 브라우저에서 XSS 코드가 실행되고, 이어서 (마) 실행 결과가 공격자에게 전달된다.

세션 ID를 수정해 새로운 세션을 만든다는 설명은 TCP 세션 하이재킹에 해당하지 않는다.

TCP 세션 하이재킹은 새 세션을 만드는 것이 아니라, 이미 인증된 기존 TCP 연결의 시퀀스 넘버를 맞춰 그 세션을 가로채는 공격이다. 세션 ID 조작은 웹 애플리케이션 계층의 세션 공격 개념이다.

• 스니핑으로 시퀀스 넘버 획득: 올바른 시퀀스 넘버를 알아야 위조 패킷이 수용되므로 옳다.
• 동기화 상태 붕괴에서 시작: 서버와 클라이언트를 비동기화 상태로 만든 뒤 공격자가 끼어드므로 옳다.
• 시퀀스 넘버 제어의 문제점 악용: TCP가 시퀀스 넘버만으로 상대를 신뢰하는 점을 악용하므로 옳다.

TCP SYN 스캔 옵션은 -sS, 상세 출력 옵션은 -v이다.

-sS는 SYN만 보내고 3-way 핸드셰이크를 완료하지 않는 스텔스(half-open) 스캔이며, -v는 verbose로 스캔 과정과 결과를 자세히 출력한다.

• -sT: SYN이 아니라 연결을 완전히 맺는 TCP Connect 스캔이다.
• -A: OS 탐지·서비스 버전 탐지·스크립트 스캔 등을 한꺼번에 수행하는 공격적(aggressive) 스캔 옵션으로, 단순 상세 출력 옵션이 아니다.

평문 블록을 직전 암호 블록과 XOR한 뒤 암호화하는 모드는 CBC이다.

CBC(Cipher Block Chaining)는 첫 블록에는 IV를, 이후에는 직전 암호문 블록을 평문과 XOR해 암호 알고리즘에 입력한다.

• CFB: 직전 암호문 블록을 암호화한 출력을 평문과 XOR하므로, 평문이 암호 알고리즘의 입력이 되지 않는다.
• OFB: 직전 암호 알고리즘 출력(키 스트림)을 다시 암호화해 평문과 XOR한다.
• CTR: 카운터 값을 암호화한 출력을 평문과 XOR한다.

ARP로 다른 노드의 포트 번호를 얻는다는 설명이 옳지 않다. ARP가 알려 주는 것은 MAC 주소이다.

ARP는 같은 LAN에서 IP 주소에 대응하는 하드웨어(MAC) 주소를 알아내는 프로토콜이며, 포트 번호는 전송 계층 정보라 ARP와 무관하다.

• SMTP: 메일 서버 간 이메일 전송에 쓰이는 프로토콜이므로 옳다.
• DHCP: 노드에 IP 주소 등 네트워크 설정을 자동 할당·관리하므로 옳다.
• ICMP 송신지 억제(Source Quench): 혼잡을 알려 송신 속도를 줄이도록 요구하는 메시지이므로 옳다.

랜드 공격을 MAC 주소로 설명한 것이 옳지 않다. 랜드 공격은 출발지 IP 주소와 목적지 IP 주소를 같게 만든다.

랜드(Land) 공격은 출발지 IP를 공격 대상의 IP로 위조해, 대상이 자기 자신에게 응답을 보내도록 만들어 자원을 소모시키는 DoS 공격이다.

• 스위치 재밍: 위조 MAC 주소로 주소 테이블을 가득 채워 스위칭 기능을 마비시키는 공격이므로 옳다.
• IP 스푸핑: 신뢰 관계의 한쪽 호스트를 마비시킨 뒤 그 호스트로 위장하는 공격이므로 옳다.
• HTTP GET 플러딩: 과도한 GET 요청으로 웹 서버 자원을 고갈시키는 공격이므로 옳다.

스크리닝 라우터가 배스천 호스트보다 패킷 기록 관리가 쉽다는 설명이 옳지 않다. 로그 관리는 배스천 호스트가 더 유리하다.

스크리닝 라우터는 헤더 기반 패킷 필터링만 수행해 로그·감사 기능이 제한적이고, 배스천 호스트는 응용 수준 프록시·인증·로깅을 수행할 수 있다.

• 배스천 호스트의 게이트웨이 역할: 내부와 외부 네트워크 사이의 관문으로 동작하므로 옳다.
• 스크리닝 라우터의 헤더 분석: IP·TCP·UDP 헤더의 주소·포트 등을 보고 필터링하므로 옳다.
• 배스천 호스트 손상 시 보호 불가: 외부에 노출된 단일 관문이 뚫리면 내부 보호가 무너지므로 옳다.

ICMP 리다이렉트 공격이 성공하면 호스트의 라우팅 테이블 정보가 공격자 의도대로 바뀐다.

공격자는 위조된 ICMP 리다이렉트 메시지로 "더 좋은 경로"를 알려 대상 호스트가 자신을 게이트웨이로 쓰도록 라우팅 정보를 갱신시킨다.

• ARP 캐시 업데이트: ARP 스푸핑이 성공했을 때의 결과이다.
• 특정 호스트의 MAC 주소 도용: ARP 스푸핑 등 MAC 위장 공격의 결과이다.
• 스위치 주소 테이블 포화: 스위치 재밍(MAC 플러딩)의 결과이다.

프로토콜별 통계를 출력하는 netstat 옵션은 -s이다.

-s(statistics)는 IP·ICMP·TCP·UDP 등 프로토콜별 송수신 통계를 보여 준다.

• -i: 네트워크 인터페이스별 상태와 패킷 통계를 출력한다.
• -p: 연결을 사용하는 프로세스(또는 운영체제에 따라 특정 프로토콜) 정보를 지정·표시하는 옵션이다.
• -r: 라우팅 테이블을 출력한다.

IPv6 홉 제한이 1씩 증가한다는 설명이 옳지 않다. 홉 제한은 라우터를 지날 때마다 1씩 감소하고 0이 되면 폐기된다.

IPv6의 Hop Limit는 IPv4의 TTL과 같은 역할로, 무한히 떠도는 패킷을 막기 위해 줄어드는 값이다.

• 192.168.0.0: 사설 주소 대역(192.168.0.0/16)에 속하므로 옳다.
• IPv4 데이터그램 최대 길이 65,535바이트: 전체 길이 필드가 16비트이므로 옳다.
• IPv6 주소 축약: 각 필드의 앞자리 0을 생략해 0000을 0으로 쓸 수 있으므로 옳다.

모델이 의도하지 않은 데이터 소스에 접근하지 못하도록 인프라를 통제하는 것은 공급망(LLM03) 대응 항목이 아니다.

공급망 항목은 타사 모델·데이터·구성 요소 등 외부에서 들여오는 요소의 검증과 관리에 초점을 둔다. 의도하지 않은 데이터 소스 접근 통제는 학습 데이터 오염을 막는 데이터·모델 포이즈닝 쪽 대응에 가깝다.

• 타사 모델 선택 시 AI 레드팀·평가: 외부 모델 도입 전 검증이므로 공급망 대응에 해당한다.
• 취약·노후 구성 요소 패치 정책: 서드파티 구성 요소 관리이므로 공급망 대응에 해당한다.
• 협업 모델 개발 환경 모니터링·감사: 공유 개발 환경을 통한 오염·남용 방지이므로 공급망 대응에 해당한다.

trap 메시지를 매니저가 에이전트에게 보낸다는 설명이 옳지 않다. trap은 에이전트가 매니저에게 보내는 메시지이다.

trap은 장애 등 특정 사건이 발생했을 때 에이전트가 요청 없이 비동기적으로 매니저에게 알리는 메시지이다.

• setRequest: 매니저가 에이전트의 변숫값 변경을 요청하므로 옳다.
• getResponse: 에이전트가 요청받은 변숫값을 매니저에게 응답하므로 옳다.
• getRequest: 매니저가 에이전트의 변숫값을 읽어 오므로 옳다.

/25는 앞 25비트가 네트워크 부분이므로 서브넷 마스크는 255.255.255.128이다.

마지막 옥텟의 상위 1비트가 네트워크 비트이므로 128이 되고, 호스트 비트는 7비트이다.
네트워크 주소 203.237.10.0, 브로드캐스트 주소 203.237.10.127이다.

• 203.237.10.128을 브로드캐스트 주소로 본 설명: .128은 다음 /25 블록의 네트워크 주소이다.
• 서브넷 3개 생성: /24를 /25로 나누면 1비트를 빌려 서브넷은 2개이다.
• 호스트 가용 주소 124개: 7비트에서 네트워크·브로드캐스트 주소를 빼면 128 − 2 = 126개이다.

Subject Alternative Name을 발급자의 대체 이름으로 설명한 것이 옳지 않다. 이 확장은 인증 주체(Subject)의 대체 이름을 담는다.

발급자의 대체 이름은 별도 확장인 Issuer Alternative Name이 담당한다. Subject Alternative Name에는 주체의 도메인 이름, 이메일 주소, IP 주소 등이 들어간다.

• Basic Constraints: 주체가 CA인지 여부와 인증 경로 길이 제한을 나타내므로 옳다.
• Authority Key Identifier: 인증서 서명에 쓰인 발급자 공개키를 식별하므로 옳다.
• Key Usage: 암호화·서명·인증서 서명 등 키의 용도를 정의하므로 옳다.