26년 1회차

일방향 해시 함수의 응용이 아닌 것은 데이터 암복호화이다.

해시 함수는 출력값으로 입력을 되돌릴 수 없는 일방향성을 가지므로 복호화가 불가능해 암복호화 수단으로 쓸 수 없다.

• 전자서명: 메시지의 해시값에 서명해 효율과 무결성을 확보한다.
• 의사난수 생성: 해시의 출력이 무작위처럼 보이는 성질을 이용해 난수를 만든다.
• 소프트웨어 변경 검출: 배포 파일의 해시값을 비교해 위·변조 여부를 확인한다.

공개키로 암호화한 메시지가 전자서명 기능을 제공한다는 설명이 옳지 않다 — 이는 기밀성을 제공한다.

전자서명은 서명자만 가진 개인키로 서명하고 누구나 공개키로 검증하는 방식이어야 부인방지가 성립한다.

• 공개키 기반 암호 방식: RSA는 공개키·개인키 쌍을 쓰는 대표적 공개키 암호이다.
• 개인키 비밀 유지: 개인키는 소유자만 보관한다.
• 소인수분해의 어려움: RSA의 안전성은 큰 합성수의 소인수분해 난제에 기반한다.

데이터베이스 객체에 대한 권한 부여 명령어는 GRANT이다.

GRANT는 권한 회수 명령인 REVOKE와 함께 DCL(데이터 제어어)에 속한다.

• ALTER: 테이블 등 객체의 구조를 변경하는 DDL이다.
• INSERT: 테이블에 행을 추가하는 DML이다.
• COMMIT: 트랜잭션의 변경 내용을 확정하는 트랜잭션 제어 명령이다.

SSLv3 레코드 프로토콜의 송신 순서는 단편화 → 압축(옵션) → MAC 추가 → 암호화 → 헤더 추가이다.

응용 데이터를 일정 크기의 블록으로 나눈 뒤 압축하고, 무결성을 위한 MAC을 붙인 다음 MAC까지 함께 암호화하며, 마지막에 레코드 헤더를 붙여 전송한다.

• 압축 → MAC 추가 → 암호화 → 단편화 → 헤더 추가: 단편화는 암호화 뒤가 아니라 맨 처음에 수행된다.
• 압축 → 헤더 추가 → 암호화 → 단편화 → MAC 추가: 헤더는 수신 측이 해석해야 하므로 맨 마지막에 평문으로 붙고, MAC은 암호화 전에 계산한다.
• 단편화 → 암호화 → MAC 추가 → 압축 → 헤더 추가: SSLv3는 MAC을 먼저 붙인 뒤 암호화하며, 암호화된 데이터는 압축 효과가 없으므로 압축은 암호화 전에 한다.

정보보호 관리체계의 국제 인증 규격은 ISO/IEC 27001이다.

ISO/IEC 27001은 조직 차원의 정보보호 관리체계(ISMS) 수립·운영 요구사항을 규정한 국제 표준이다.

• CC: 개별 정보보호 제품의 보안성을 평가하는 국제 공통평가기준이다.
• ITSEC: 유럽에서 만든 제품·시스템 보안 평가 기준이다.
• TCSEC: 미국 국방부의 컴퓨터 시스템 보안 평가 기준(Orange Book)이다.

사용자와 시스템, 또는 두 시스템 사이의 활성화된 접속을 관리하는 것은 세션 관리이다.

세션 관리는 접속의 생성·유지·종료와 일정 시간 미사용 시 세션 종료 등을 통해 비인가 접근을 막는다.

• 권한 관리: 사용자별로 접근 가능한 자원과 행위의 범위를 부여·통제한다.
• 로그 관리: 시스템 활동 기록을 수집·보관·분석한다.
• 취약점 관리: 시스템의 보안 약점을 식별하고 조치한다.

전문가 집단의 토론으로 위협과 취약성을 분석하는 정성적 방법은 델파이법이다.

델파이법은 짧은 시간에 위험을 분석할 수 있지만 전문가의 주관에 의존해 정확도가 낮을 수 있다.

• 확률 분포법: 미지의 사건을 확률적으로 추정하는 정량적 방법이다.
• 과거 자료 분석법: 과거 자료를 통해 위험 발생 가능성을 예측하는 정량적 방법이다.
• 수학 공식 접근법: 위협 발생 빈도를 계산식으로 정량화하는 방법이다.

CAPTCHA가 기밀성을 보장하기 위한 암호의 한 형태라는 설명이 옳지 않다.

CAPTCHA는 데이터를 숨기는 암호가 아니라 사람과 컴퓨터(봇)를 구분하기 위한 시험으로, 자동 가입·자동 입력 공격 방지에 쓰인다.

• 자동화된 공개 튜링 테스트: CAPTCHA라는 이름 자체가 이 의미이다.
• 이미지·왜곡 문자·잡음 섞인 소리 사용: 시각·청각형 문제 모두 가능하다.
• 사람은 쉽고 컴퓨터는 어려워야 함: CAPTCHA가 성립하기 위한 기본 조건이다.

MAC 주소 기반으로 접근 제어·인증을 수행해 정책에 부합하는 단말만 네트워크를 쓰게 하는 솔루션은 NAC이다.

NAC(Network Access Control)는 단말의 보안 정책 준수 여부를 점검해 미준수 단말의 네트워크 접속을 차단·격리한다.

• DLP: 내부 중요 정보의 외부 유출을 탐지·차단한다.
• VPN: 공중망 위에 암호화된 가상 전용 통신로를 만든다.
• PIMS: 개인정보보호 관리체계 인증으로, 단말 접근 제어 솔루션이 아니다.

SSH 프로토콜의 구성요소가 아닌 것은 핸드셰이크 프로토콜이다.

SSH는 전송 계층·사용자 인증·연결 프로토콜의 세 계층으로 구성되며, 핸드셰이크 프로토콜은 SSL/TLS의 구성요소이다.

• 전송 계층 프로토콜: 서버 인증, 암호화, 무결성 보호를 제공한다.
• 사용자 인증 프로토콜: 클라이언트 사용자를 서버에 인증한다.
• 연결 프로토콜: 암호화된 터널을 여러 논리 채널로 다중화한다.

대검찰청 규정상 전자정보 압수·수색·검증의 기본원칙이 아닌 것은 디지털 증거의 기밀성 유지이다.

디지털 증거의 기본원칙은 증거능력 확보를 위한 것으로, 적법하게 수집하고 원본과 동일하며 처리 과정을 신뢰할 수 있어야 한다는 내용이다.

• 적법절차의 준수: 전자정보는 적법한 절차에 따라 수집되어야 한다.
• 디지털 증거의 신뢰성 유지: 증거 처리에 쓰인 시스템과 절차는 신뢰할 수 있어야 한다.
• 디지털 증거의 원본성 유지: 수집부터 법정 제출까지 변경·훼손 없이 원본과 동일해야 한다.

관리체계 수립 및 운영의 순서는 관리체계 기반 마련 → 위험관리 → 관리체계 운영 → 관리체계 점검 및 개선이다.

경영진 참여·조직 구성·범위 설정 등 기반을 먼저 마련하고, 위험을 식별·평가해 보호대책을 정한 뒤, 이를 운영하고 점검·개선하는 순환 구조이다.

• 위험관리 → 관리체계 운영 → 점검 및 개선 → 기반 마련: 기반 마련은 맨 끝이 아니라 맨 처음 단계이다.
• 위험관리 → 기반 마련 → 운영 → 점검 및 개선: 위험관리는 관리체계 기반이 마련된 뒤에 수행된다.
• 기반 마련 → 운영 → 위험관리 → 점검 및 개선: 위험관리로 보호대책을 정한 뒤에 운영한다.

순서 번호를 조작한 IP 패킷 조각으로 재조합 오류를 일으키는 공격은 Teardrop이다.

Teardrop은 단편의 오프셋(순서 정보)을 겹치거나 어긋나게 조작해 재조합 과정에서 시스템이 오류를 일으키게 한다.

• Smurf: 출발지를 피해자로 위조한 ICMP 요청을 브로드캐스트해 응답이 피해자에게 몰리게 한다.
• ICMP Flooding: 대량의 ICMP 패킷으로 대역폭과 자원을 고갈시킨다.
• Buffer Overflow: 버퍼 경계를 넘는 입력으로 메모리를 덮어쓰는 공격으로, 패킷 재조합과 무관하다.

그림은 CBC(Cipher Block Chaining) 모드의 복호화 과정이다.

각 암호문 블록을 키 K로 블록 복호화한 뒤, 그 출력에 직전 암호문 블록을 XOR 해 평문을 얻는다(첫 블록은 IV와 XOR).
$P_1 = D_K(C_1) \oplus IV$
$P_i = D_K(C_i) \oplus C_{i-1}$

• ECB는 각 블록을 독립적으로 복호화할 뿐 IV나 이전 암호문 블록과의 XOR가 없다.
• CFB는 IV·이전 암호문 블록을 암호화 함수에 넣어 만든 출력을 암호문과 XOR 하므로, 암호문 블록이 복호화 함수로 직접 들어가지 않는다.
• CTR은 카운터 값을 암호화한 키스트림을 암호문과 XOR 하는 방식으로, 블록 간 연쇄가 없다.

법 26에서 곱셈에 대한 역원이 존재하지 않는 원소는 13이다.

원소 $a$의 역원은 $\gcd(a,\ 26) = 1$일 때만 존재하는데, $26 = 2 \times 13$이므로 13은 26과 서로소가 아니다($\gcd(13,\ 26) = 13$).

• 7: $7 \times 15 = 105 = 4 \times 26 + 1$이므로 역원은 15이다.
• 11: $11 \times 19 = 209 = 8 \times 26 + 1$이므로 역원은 19이다.
• 23: $23 \times 17 = 391 = 15 \times 26 + 1$이므로 역원은 17이다.

ISMS-P의 보호대책 요구사항 분야가 아닌 것은 정보주체 권리보호이다.

정보주체 권리보호는 개인정보 처리 단계별 요구사항에 속하는 분야이다.

• 재해 복구: 보호대책 요구사항의 한 분야이다.
• 외부자 보안: 보호대책 요구사항의 한 분야이다.
• 정책, 조직, 자산 관리: 보호대책 요구사항의 첫 분야이다.

(가)는 ESP, (나)는 대칭키이다.

ESP(Encapsulating Security Payload)는 기밀성·데이터 발신 인증·비연결 무결성을 제공하며, 대량 데이터 암호화에 유리한 대칭키 암호를 사용한다.

• AH를 고르는 연결: AH는 인증·무결성만 제공하고 기밀성(암호화)은 제공하지 않는다.
• ESP와 공개키를 고르는 연결: 공개키 암호는 키 교환 등에 쓰이며, ESP 페이로드 암호화에는 대칭키 암호가 쓰인다.

대학 부교수 이상으로 3년 이상 재직한 사람은 위원 자격 요건에 해당하지 않는다.

「개인정보 보호법」은 개인정보 관련 분야에 전문지식이 있고 「고등교육법」에 따른 학교에서 부교수 이상으로 5년 이상 재직하고 있거나 재직하였던 사람을 요건으로 정하므로 기간이 부족하다.

• 공공기관·단체 추천을 받고 개인정보 보호 업무를 3년 이상 담당한 사람: 위원 자격 요건에 해당한다.
• 개인정보 보호 업무를 담당하는 3급 이상 공무원의 직에 있었던 사람: 위원 자격 요건에 해당한다.
• 판사·검사·변호사의 직에 10년 이상 있었던 사람: 위원 자격 요건에 해당한다.

개인정보처리자의 정당한 이익 달성을 위해 필요한 경우는 열람 제한·거절 사유가 아니다.

이 문구는 정보주체의 동의 없이 개인정보를 수집·이용할 수 있는 사유에 해당하며, 열람 제한 사유로는 규정되어 있지 않다.

• 법률에 따라 열람이 금지·제한되는 경우: 열람 제한·거절 사유이다.
• 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우: 열람 제한·거절 사유이다.
• 공공기관의 조세 부과·징수·환급 업무에 중대한 지장을 초래하는 경우: 열람 제한·거절 사유이다.

법인 설립 이후 5년 이상이라는 요건은 보안관제 전문기업 지정기준이 아니다.

지정기준은 자본·기술인력·수행능력 등 실제 보안관제 수행 역량을 심사하는 항목으로 구성되며, 법인 설립 후 5년 경과는 기준에 포함되지 않는다.

• 자기 자본 20억원 이상: 지정기준에 해당한다.
• 보안관제 수행능력 평가 심사 70점 이상: 지정기준에 해당한다.
• 고급·중급 기술자를 포함한 기술인력 15명 이상 보유: 지정기준에 해당한다.