25년 1회차

정보보호의 범위에 사이버안전이 포함될 수 없다는 설명이 옳지 않다.

정보보호는 정보자산을 위협으로부터 보호하는 활동 전반이며, 사이버 공간의 위협에 대응하는 사이버안전도 당연히 그 범위에 들어간다.

• 정보자산을 여러 위협으로부터 보호하는 것이라는 정의는 옳다.
• 정보의 활용과 통제 사이에서 균형을 잡는 행위라는 설명은 가용성과 보안의 상충 관계를 잘 나타낸 것으로 옳다.
• 보호 대상 자산에 소프트웨어·하드웨어·데이터·인적자원이 포함될 수 있다는 설명도 옳다.

TCP 스캔에서 닫힌 포트는 ICMP Port Unreachable이 아니라 RST 패킷으로 응답하므로 이 설명이 옳지 않다.

ICMP Port Unreachable 메시지로 닫힌 포트를 판별하는 것은 UDP 스캔의 특징이다.

• 포트 스캔은 대상 시스템에서 어떤 서비스가 열려 있는지 확인하는 정보수집 방법이다.
• 포트 번호는 0~65,535이며 그중 0~1,023이 잘 알려진 포트라는 설명은 옳다.
• Nmap은 대표적인 오픈소스 포트 스캔 도구이다.

메일 암호화는 기밀성, 전자서명은 부인방지를 제공한다.

암호화하면 허가받지 않은 사람이 내용을 읽을 수 없고, 전자서명은 송신자의 개인키로만 만들 수 있어 보낸 사실을 나중에 부인할 수 없게 한다.

• 가용성은 필요할 때 정보·서비스를 이용할 수 있게 하는 성질로, 암호화나 전자서명이 제공하는 서비스가 아니다.
• 암호화를 가용성으로, 전자서명을 기밀성으로 연결하는 조합은 두 기능을 뒤바꾼 것이다.

(가)는 랜섬웨어이다.

1989년 AIDS 트로이목마가 최초의 랜섬웨어로 알려져 있고, 최근 랜섬웨어는 파일을 암호화한 뒤 공격자만 가진 개인키 없이는 복호화할 수 없게 만들어 금전을 요구한다.

• 웜은 네트워크를 통해 스스로 복제·전파하는 악성코드로, 파일을 암호화해 몸값을 요구하는 것이 본질이 아니다.
• 바이러스는 다른 파일에 기생해 감염시키는 악성코드이다.
• DDoS는 다수의 시스템으로 서비스를 마비시키는 공격 기법이며 악성코드 이름이 아니다.

(가)는 봇, (나)는 스파이웨어이다.

봇은 감염된 PC를 봇넷의 일원으로 만들어 공격자의 명령에 따라 DDoS 등을 수행하고, 스파이웨어는 동의 없이 설치되어 사용자 정보를 수집·전송한다.

• 루트킷은 공격자의 존재와 악성 활동을 숨기는 도구 모음으로, DDoS 공격 수행이 주목적이 아니다.
• 애드웨어는 광고를 표시하는 것이 주목적인 프로그램으로, 정보 수집·전송을 핵심으로 하는 (나)와 맞지 않는다.

IGMP는 VPN 프로토콜이 아니다.

IGMP는 호스트가 멀티캐스트 그룹 가입·탈퇴를 라우터에 알리는 네트워크 계층 관리 프로토콜로, 터널링이나 암호화 기능이 없다.

• IPSec은 네트워크 계층에서 인증·암호화를 제공하는 대표적인 VPN 프로토콜이다.
• L2TP는 데이터 링크 계층 터널링 프로토콜로 VPN 구성에 쓰인다.
• PPTP도 PPP 프레임을 터널링하는 데이터 링크 계층 VPN 프로토콜이다.

(가)는 SID(Security Identifier)이다.

윈도우에서 인증된 사용자에게는 고유한 SID가 담긴 액세스 토큰이 부여되고, SRM(보안 참조 모니터)은 이 SID를 객체의 접근 권한과 비교해 접근 허용 여부를 결정하고 감사 기록을 남긴다.

• GID는 유닉스·리눅스의 그룹 식별자이다.
• SetUID는 유닉스·리눅스에서 실행 시 파일 소유자 권한으로 동작하게 하는 특수 권한 비트이다.
• SSID는 무선랜(AP)을 구분하는 네트워크 식별자이다.

보험에 가입하거나 다른 기관과 계약을 맺어 위험을 넘기는 것은 위험 전가로 옳은 설명이다.

위험 전가는 잠재적 손실의 부담을 제3자에게 이전하는 처리 방법이다.

• 위험 수용은 현재의 위험을 받아들이고 잠재적 손실을 감수하는 것으로, 자산의 구조나 사용을 변경하는 것이 아니다.
• 위험 감소는 대책(통제)을 적용해 위험을 낮추는 것이며, 위험을 일으키는 행위·시스템을 아예 수행하지 않는 것은 위험 회피이다.
• 위험 회피는 위험을 일으키는 활동 자체를 하지 않는 것이며, 위험을 받아들이고 손실을 감수하는 것은 위험 수용이다.

A5/1은 공개키 암호가 아니다.

A5/1은 GSM 이동통신의 음성 암호화에 쓰인 대칭키 스트림 암호로, 송수신자가 같은 비밀키를 공유한다.

• RSA는 소인수분해의 어려움에 기반한 공개키 암호이다.
• 타원곡선암호는 타원곡선 위의 이산대수 문제에 기반한 공개키 암호이다.
• 배낭암호(Merkle–Hellman)는 배낭 문제에 기반해 제안된 공개키 암호이다.

설명하는 솔루션은 DLP(Data Loss Prevention)이다.

DLP는 USB 같은 이동식 저장 매체, 이메일 등 네트워크 전송 경로를 통제해 조직의 중요 자료가 외부로 유출되는 것을 막는다.

• DRM은 디지털 콘텐츠를 암호화하고 사용 권한(열람·복사·출력 등)을 통제하는 저작권·문서 보호 기술이다.
• IPS는 네트워크 트래픽에서 침입을 탐지하고 실시간으로 차단하는 시스템이다.
• SIEM은 여러 보안 장비의 로그를 수집·연관 분석해 보안 이벤트를 관리하는 솔루션이다.

두 문제가 모두 해결된 운용 모드는 OFB이다.

OFB는 IV로부터 만든 키스트림을 평문과 XOR하므로 같은 평문 블록도 다른 암호문이 되고, 암호문 오류는 해당 위치의 비트에만 영향을 주어 다음 블록으로 전파되지 않는다.

• ECB는 각 블록을 독립적으로 암호화하므로 같은 평문 블록이 같은 암호문 블록이 된다.
• CFB는 이전 암호문 블록을 다음 블록 암호화의 입력으로 쓰므로 암호문 오류가 다음 블록 복호화에 전파된다.
• CBC도 이전 암호문 블록을 다음 블록과 XOR하므로 암호문 오류가 다음 블록 복호화에 전파된다.

설명하는 공격은 블루버그이다.

블루버그는 한 번 연결된 기기는 재인증 없이 자동 연결되는 취약점을 악용해 대상 기기에 접속한 뒤 임의의 동작(통화·문자 전송 등)을 실행한다.

• 블루재킹은 근처 블루투스 기기에 익명의 메시지나 명함을 보내는 공격으로, 기기 제어와는 거리가 멀다.
• 블루프린팅은 블루투스 기기의 종류·주소 등 정보를 수집하는 탐색 기법이다.
• 블루스나프는 인증 없이 기기에 접근해 주소록·일정 등 데이터를 빼내는 공격이다.

프로파일링 등 자동화된 모든 의사결정을 거부할 권리라는 설명이 옳지 않다.

GDPR은 법적 효력이나 이와 유사하게 중대한 영향을 미치는 경우처럼 오로지 자동화된 처리에 기반한 결정에 대해서만 적용받지 않을 권리를 인정하며, 모든 자동 의사결정을 대상으로 하지 않는다.

• 처리의 제한을 요구할 권리는 GDPR이 정한 정보주체의 권리이다.
• 개인정보를 본인이나 다른 사업자에게 전송하도록 요구할 권리는 개인정보 이동권으로 인정된다.
• 개인정보 삭제를 요구할 권리(잊힐 권리)도 인정된다.

안티 리버싱 기법은 난독화와 안티 디버깅이다.

난독화는 코드를 읽기 어렵게 바꾸고, 안티 디버깅은 디버거 실행을 탐지·방해해 역공학 분석을 어렵게 한다.

• 스택 실드는 함수 복귀 주소를 별도 영역에 저장해 두었다가 비교하는 스택 버퍼 오버플로 방어 기법이다.
• 카나리아는 복귀 주소 앞에 임의 값을 두고 변조 여부를 검사하는 스택 버퍼 오버플로 방어 기법이다.

개인정보의 파기방법 및 절차 등에 필요한 사항은 총리령이 아니라 대통령령으로 정하므로 이 설명이 옳지 않다.

｢개인정보 보호법｣은 파기의 원칙·방법·분리 보관 의무를 법률에 두고, 세부 방법과 절차는 대통령령에 위임한다.

• 보유기간 경과, 처리 목적 달성, 가명정보 처리 기간 경과 등으로 불필요해진 개인정보는 지체 없이 파기하되 다른 법령상 보존 의무가 있으면 예외로 한다는 설명은 옳다.
• 파기할 때 복구 또는 재생되지 않도록 조치해야 한다는 설명은 옳다.
• 다른 법령에 따라 보존하는 경우 다른 개인정보와 분리하여 저장·관리해야 한다는 설명도 옳다.

다중문자 암호 방식에 해당하는 것은 비즈네르 암호와 플레이페어 암호이다.

두 방식은 같은 평문 문자가 항상 같은 암호문 문자로 바뀌지 않는다. 비즈네르는 키 위치에 따라 이동량이 달라지고, 플레이페어는 두 글자 쌍 단위로 치환하기 때문이다.

• 시저 암호는 모든 문자를 같은 거리만큼 이동시키는 단일문자 치환 방식이다.
• 아핀 암호도 하나의 일차식으로 각 문자를 고정된 문자로 바꾸는 단일문자 치환 방식이다.

제3자 제공 동의를 받을 때 알릴 사항에 동의에 따른 이익의 내용은 포함되지 않는다.

법이 정한 고지 사항은 제공받는 자, 그의 이용 목적, 제공 항목, 그의 보유 및 이용 기간, 그리고 동의 거부 권리와 거부에 따른 불이익이다.

• 개인정보를 제공받는 자의 이용 목적은 알려야 하는 사항이다.
• 동의를 거부할 권리가 있다는 사실과 거부 시 불이익의 내용은 알려야 하는 사항이다.
• 개인정보를 제공받는 자의 보유 및 이용 기간도 알려야 하는 사항이다.

출력되는 문자열은 QUJD이다.

Base64는 24비트를 6비트씩 4묶음으로 나눈 뒤 각 값을 표의 문자로 바꾼다.
24비트: 01000001 01000010 01000011
6비트 분할: 010000 / 010100 / 001001 / 000011

각 값을 10진수로 바꾸면 16, 20, 9, 3이다.
표에서 16은 Q, 20은 U, 9는 J, 3은 D이므로 결과는 QUJD이다.

순서보존 암호화를 복호화가 불가능한 기법이라고 한 설명이 옳지 않다.

순서보존 암호화는 원문 값의 순서가 암호값에서도 그대로 유지되도록 하는 암호화이며 복호화가 가능하다. 암호화만 되고 복호화가 불가능한 것은 해시 등 일방향 암호화의 특징이다.

• 총계 처리는 데이터를 평균값·최댓값·최솟값·최빈값·중간값 등으로 처리하는 기법이다.
• 일반 라운딩은 올림·내림·반올림 기준으로 집계 처리하며, 세세한 값보다 전체 통계가 필요할 때 주로 쓴다.
• 로컬 일반화는 특이값이나 분포상 특이성으로 식별성이 높아지는 부분에만 일반화를 적용하는 기법이다.

S/MIME에서 DSS는 전자서명에 사용되므로 옳게 짝지어졌다.

S/MIME은 서명에 DSS·RSA, 세션키 암호화에 ElGamal·RSA, 메시지 본문 암호화에 AES 같은 대칭키 알고리즘을 사용한다.

• ElGamal은 세션키 암호화에 쓰이며, 메시지 인증 기능을 담당하지 않는다.
• AES는 대칭키 암호로 메시지 본문 암호화에 쓰이며 전자서명이나 세션키 암호화를 하지 않는다.
• RSA는 전자서명과 세션키 암호화에 쓰이며, 메시지 자체 암호화는 대칭키 알고리즘이 맡는다.