아래 지문은 크로스사이트 요청 우위조(CSRF)의 보안대책을 설명한 것… | [정보보안기사 필기] 16년 2회차 기출문제 상세 페이지
1[정보보안기사 필기] 16년 2회차
아래 지문은 크로스사이트 요청 우위조(CSRF)의 보안대책을 설명한 것이다. 다음 중 ( ) 안에 들어갈 내용이 맞게 구성 된 것은?
입력화면 폼 작성 시 ( A ) 방식보다는 ( B ) 방식을 사용하고 입력화면 폼과 해당 입력을 처리하는 프로그램 사이에 ( C )을(를) 사용하여, 공격자의 직접적인 URL 사용이 동작하지 않도록 한다. 특히, 중요한 기능에 대해서는 ( D )과(와) 더불어 ( E )를(을) 유도한다.
1
(A) : GET, (B) : POST, (C) : 세션, (D) : 사용자 세션검증, (E) : 재사용
2
(A) : POST, (B) : GET, (C) : 세션, (D) : 쿠키 식별, (E) : 재사용
3
(A) : POST, (B) : GET, (C) : 토큰, (D) : 쿠키 식별, (E) : 재인증
4
(A) : GET, (B) : POST, (C) : 토큰, (D) : 사용자 세션 검증, (E) : 재인증
해설
빈칸에 들어갈 내용은 다음과 같다.
- ( A ) GET
- ( B ) POST
- ( C ) 토큰
- ( D ) 사용자 세션 검증
- ( E ) 재인증
URL 쿼리스트링에 값이 드러나는 GET 방식은 이미지 태그나 링크만으로도 요청이 위조되므로, 값을 본문으로 보내는 POST 방식으로 바꿔 공격자의 직접적인 URL 호출을 무력화한다.
다만 전송 방식 변경만으로는 부족해, 서버가 폼에 심어 둔 일회성 토큰을 함께 검증해야 정상 화면을 거쳐 들어온 요청인지 구분할 수 있다.
이체·비밀번호 변경 같은 중요 기능에는 사용자 세션 검증에 더해 비밀번호 재입력 등 재인증을 요구한다. 쿠키 값만으로 식별하거나 토큰을 재사용하게 두면 위조 요청을 그대로 받아들이게 된다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.