CSRF 공격에 대한 설명으로 옳지 않은 것은? | [9급 지방직 정보보호론] 23년 1회차 기출문제 상세 페이지
1[9급 지방직 정보보호론] 23년 1회차
CSRF 공격에 대한 설명으로 옳지 않은 것은?
1
사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 하는 공격이다.
2
특정 웹사이트가 사용자의 웹 브라우저를 신뢰하는 점을 노리고 사용자의 권한을 도용하려는 것이다.
3
사용자에게 전달된 데이터의 악성 스크립트가 사용자 브라우저에서 실행되면서 해킹을 하는 것으로, 이 악성 스크립트는 공격자가 웹 서버에 구현된 애플리케이션의 취약점을 이용하여 서버 측 또는 URL에 미리 삽입해 놓은 것이다.
4
웹 애플리케이션의 요청 내에 세션별ㆍ사용자별로 구별 가능한 임의의 토큰을 추가하도록 하여 서버가 정상적인 요청과 비정상적인 요청을 판별하는 방법으로 공격에 대응할 수 있다.
해설
서버나 URL에 미리 삽입한 악성 스크립트가 사용자 브라우저에서 실행되는 공격은 CSRF가 아니라 XSS(크로스 사이트 스크립팅)에 대한 설명이다.
CSRF는 스크립트 실행 자체보다, 로그인된 사용자의 권한으로 공격자가 의도한 요청을 서버에 보내게 하는 데 초점이 있다.
- 사용자 의지와 무관하게 공격자가 의도한 행위를 웹사이트에 요청하게 하는 공격: CSRF의 정의이다.
- 웹사이트가 사용자 브라우저를 신뢰하는 점을 노려 사용자 권한을 도용: CSRF의 원리에 대한 옳은 설명이다.
- 요청에 세션별·사용자별 임의 토큰을 추가해 정상 요청을 판별: CSRF 토큰을 이용한 대표적인 대응책이다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.