다음 중 레이스 컨디셔닝 공격에 대한 설명으로 올바르지 않은 것은? | [정보보안기사 필기] 15년 2회차 기출문제 상세 페이지
1[정보보안기사 필기] 15년 2회차
다음 중 레이스 컨디셔닝 공격에 대한 설명으로 올바르지 않은 것은?
1
Setuid가 설정되어 있어야 한다.
2
임시 파일을 생성해야 한다.
3
임시 파일을생성할 때 레이스 컨디셔닝에 대응하지 않아야 한다.
4
임시 파일 이름을 공격자가 몰라도 된다.
해설
레이스 컨디션 공격은 setuid가 설정된 프로그램이 임시 파일을 생성하는 과정에서 발생하는 시간차(TOCTOU)를 노리는 공격이다.
공격이 성립하려면 프로그램이 임시 파일을 생성하면서 레이스 컨디션에 대응하지 않아야 하고, 무엇보다 공격자가 임시 파일의 이름을 미리 알거나 예측해 동일한 이름으로 심볼릭 링크 등을 먼저 생성해 둘 수 있어야 한다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.