9급 전산개발 정보보호론 기출문제 해설

총 100문항 · 문제·정답·해설·개념 무료 학습

이 회차는 100문항입니다. 자료를 읽고 푸는 문항이 26문항입니다. 풀이가 붙은 문항이 100문항입니다.

• 1

  사용자의 신원을 검증하고 전송된 메시지의 출처를 확인하는 정보보호 개념은?

  1. 1. 무결성
  2. 2. 기밀성
  3. 3. 인증성
  4. 4. 가용성

  정답 3번

  🔍 보기별 해설

  1. 무결성은 정보가 허가 없이 변경되거나 삭제되지 않고 원래대로 유지된다는 성질이다. 신원이나 출처를 확인하는 것이 아니라 내용의 변조를 막는 개념이므로 옳지 않다.
  2. 기밀성은 허가받지 않은 사람이 정보를 알 수 없도록 지키는 성질로 암호화와 접근통제로 구현한다. 사용자가 누구인지 확인하는 개념은 아니므로 옳지 않다.
  3. 인증성은 사용자의 신원을 검증하고 전송된 메시지가 실제로 주장한 송신자에게서 왔는지 확인하는 성질이다. 신원 검증과 출처 확인이라는 발문의 두 요소를 모두 담고 있으므로 옳다(정답).
  4. 가용성은 허가된 사용자가 필요할 때 정보와 시스템을 지체 없이 이용할 수 있게 보장하는 성질이다. 서비스거부 공격을 막는 것과 관련이 깊고 신원 확인과는 무관하므로 옳지 않다.

  🧮 풀이

  1. 甲은 회사 문서 서버에서 결재 문서의 내용이 슬쩍 바뀐 사고 사례를 읽었다. 문서를 지키는 성질이 무엇인지 따져 보고 변조를 막는 개념은 인증이 아니라 무결성이라고 노트에 메모해 두었다.
  2. 甲은 비밀번호 없이 누구나 열어 볼 수 있던 인사 파일이 외부에 새어 나간 기사를 읽었다. 비인가자에게 알려지지 않게 하는 성질이 기밀성이라고 적고 신원 확인과 구분되게 다른 색으로 밑줄을 그었다.
  3. 甲은 메일로 온 송금 요청이 사장 이름을 달고 있어도 실제 사장이 보낸 것인지 전화로 되묻는 절차를 보았다. 보낸 사람이 누구인지 확인하는 이 과정이 인증성이라고 정리해 절차도 옆에 그려 보았다.
  4. 甲은 명절 예매 시간에 접속이 폭주해 사이트가 열리지 않은 사례를 찾아보았다. 정상 사용자가 서비스를 쓰지 못한 문제는 가용성에 해당한다고 보고 인증성과 나란히 표로 견주어 놓았다.

  사용자 신원 검증과 메시지 출처 확인은 인증성이다. 무결성은 변조 방지, 기밀성은 비인가 노출 방지, 가용성은 필요할 때 이용 보장이다.

• 2

  TCP에 대한 설명으로 옳지 않은 것은?

  1. 1. 비연결 지향 프로토콜이다.
  2. 2. 3-Way Handshaking을 통해 서비스를 연결 설정한다.
  3. 3. 포트 번호를 이용하여 서비스들을 구별하여 제공할 수 있다.
  4. 4. SYN Flooding 공격은 TCP 취약점에 대한 공격이다.

  정답 1번

  🔍 보기별 해설

  1. TCP는 데이터를 보내기 전에 연결을 먼저 맺고 순서 번호와 확인 응답으로 신뢰성을 확보하는 연결 지향 프로토콜이다. 비연결 지향은 UDP의 특징이므로 옳지 않다(정답).
  2. TCP는 SYN, SYN+ACK, ACK 세 번의 메시지 교환으로 연결을 설정한다. 이를 3-Way Handshaking이라 하고 양쪽의 시작 순서 번호를 맞추는 절차이므로 적절하다.
  3. TCP와 UDP는 IP 주소에 더해 포트 번호로 한 호스트 안의 응용 서비스를 구분한다. 웹은 80, SSH는 22처럼 서비스마다 포트를 다르게 쓰므로 적절하다.
  4. SYN Flooding은 SYN만 대량으로 보내 서버의 연결 대기 큐를 채워 새 연결을 받지 못하게 하는 공격이다. 3-Way Handshaking 과정의 취약점을 악용하므로 적절하다.

  🧮 풀이

  1. 甲은 파일 전송이 도중에 끊기지 않고 순서대로 도착하는 이유를 찾아보았다. 연결을 맺고 확인 응답으로 재전송하는 TCP 방식을 UDP와 나란히 표로 그리고 연결 지향 칸에 TCP를 적어 넣었다.
  2. 甲은 패킷 분석 도구로 웹 접속 장면을 잡아 첫 세 패킷의 플래그를 살펴보았다. SYN, SYN+ACK, ACK 순으로 오간다는 점을 확인하고 화살표 세 개로 그려 공책에 붙여 두었다.
  3. 甲은 한 서버에서 웹과 원격 접속이 동시에 돌아가는 화면을 열어 보았다. 두 서비스가 각각 80번과 22번 포트를 쓴다는 점을 짚고 포트 번호가 서비스를 구분하는 열쇠라고 옆에 적었다.
  4. 甲은 반쯤 열린 연결이 서버 대기 큐에 쌓이는 시험 환경 실습 그림을 보았다. 세 번째 ACK가 오지 않는 자리에서 큐가 차는 것을 확인하고 그 지점에 붉은 동그라미를 쳐 두었다.

  TCP는 연결 지향 프로토콜이다. 비연결 지향은 UDP의 성질이므로 1번이 옳지 않다.

• 3

  암호 알고리즘에 대한 설명으로 옳지 않은 것은?

  1. 1. 일반적으로 대칭키 암호 알고리즘은 비대칭키 암호 알고리즘에 비하여 빠르다.
  2. 2. 대칭키 암호 알고리즘에는 Diffie-Hellman 알고리즘이 있다.
  3. 3. 비대칭키 암호 알고리즘에는 타원 곡선 암호 알고리즘이 있다.
  4. 4. 인증서는 비대칭키 암호 알고리즘에서 사용하는 공개키 정보를 포함하고 있다.

  정답 2번

  🔍 보기별 해설

  1. 대칭키 알고리즘은 암호화와 복호화에 같은 키를 쓰고 연산이 단순해 지수 연산을 쓰는 비대칭키 방식보다 훨씬 빠르다. 그래서 대용량 데이터는 대칭키로 암호화하므로 적절하다.
  2. Diffie-Hellman은 이산 로그 문제에 기대어 두 사람이 공개된 채널에서 공통 비밀값을 만드는 키 교환 알고리즘이며 공개키 계열이다. 대칭키 알고리즘의 예가 아니므로 옳지 않다(정답).
  3. 타원 곡선 암호(ECC)는 타원 곡선 위의 이산 로그 문제에 기반한 공개키 암호로 RSA보다 짧은 키로 비슷한 강도를 얻는다. 비대칭키 알고리즘의 예로 맞으므로 적절하다.
  4. 인증서는 공개키와 소유자 정보를 묶어 인증기관이 전자서명한 문서이다. 공개키가 누구의 것인지 보증하는 도구로 비대칭키 방식에서 쓰이므로 적절하다.

  🧮 풀이

  1. 甲은 대용량 백업 파일을 암호화할 방법을 고르며 AES와 RSA의 처리 속도를 비교한 자료를 읽었다. 같은 키를 쓰는 AES가 훨씬 빠르다는 수치를 표에 옮겨 적고 대칭키 열에 별표를 달았다.
  2. 甲은 두 사람이 처음 만나 비밀 통신을 시작하는 그림에서 Diffie-Hellman을 보았다. 이 방식이 암호문을 만드는 것이 아니라 공통 비밀값을 만드는 키 교환이라는 설명에 밑줄을 긋고 분류표에서 공개키 칸으로 옮겼다.
  3. 甲은 스마트폰 서명에 쓰이는 알고리즘이 RSA보다 키가 훨씬 짧다는 기사를 읽었다. 타원 곡선 암호가 그 주인공이라는 점을 확인하고 공개키 알고리즘 목록에 RSA와 나란히 표시해 놓았다.
  4. 甲은 웹 브라우저의 자물쇠 표시를 눌러 사이트 인증서 창을 열었다. 발급 기관 서명과 공개키가 한 문서에 들어 있는 것을 눈으로 확인하고 각 항목 이름을 공책에 옮겨 적었다.

  Diffie-Hellman은 대칭키가 아니라 키 교환 알고리즘이며 공개키 계열이다. 대칭키 예는 AES·DES 등이다.

• 4

  TCP 세션 하이재킹에 대한 설명으로 옳은 것은?

  1. 1. 서버와 클라이언트가 통신할 때 TCP의 시퀀스 넘버를 제어하는 데 문제점이 있음을 알고 이를 이용한 공격이다.
  2. 2. 공격 대상이 반복적인 요구와 수정을 계속하여 시스템 자원을 고갈시킨다.
  3. 3. 데이터의 길이에 대한 불명확한 정의를 악용한 덮어쓰기로 인해 발생한다.
  4. 4. 사용자의 동의 없이 컴퓨터에 불법적으로 설치되어 문서나 그림 파일 등을 암호화한다.

  정답 1번

  🔍 보기별 해설

  1. TCP는 순서 번호를 통해 세션을 식별하고 순서를 맞추는데, 공격자가 이 번호를 알아내 정상 사용자인 척 패킷을 끼워 넣어 세션을 가로챈다. 서술 내용과 정확히 일치하므로 옳다(정답).
  2. 반복적인 요구로 시스템 자원을 고갈시키는 것은 서비스거부(DoS) 공격의 설명이다. 세션을 가로채는 하이재킹과는 목적과 방식이 다르므로 옳지 않다.
  3. 데이터 길이 정의가 불명확한 점을 악용해 덮어쓰는 것은 버퍼 오버플로우의 설명이다. 순서 번호를 이용하는 하이재킹과 원리가 다르므로 옳지 않다.
  4. 사용자 동의 없이 설치되어 파일을 암호화하는 것은 랜섬웨어의 설명이다. 이미 맺어진 연결을 가로채는 하이재킹과는 관계가 없으므로 옳지 않다.

  🧮 풀이

  1. 甲은 서버와 클라이언트가 주고받는 패킷에 붙은 순서 번호를 분석 도구로 열어 보았다. 공격자가 이 번호를 맞혀 끼어들면 세션을 가로챌 수 있다는 설명을 읽고 번호가 이어지는 화살표를 그려 보았다.
  2. 甲은 콘서트 예매 사이트가 요청 폭주로 멈춘 사고를 다룬 기사를 읽었다. 자원을 고갈시키는 서비스거부 공격이라 세션 하이재킹과 다르다고 판단하고 두 공격의 목적을 표에 나누어 적었다.
  3. 甲은 입력 길이를 검사하지 않는 C 함수 예제 코드를 열어 보았다. 긴 문자열이 옆 메모리를 덮어쓰는 버퍼 오버플로우 현상이라고 이름 붙이고 세션 하이재킹 항목과 선으로 갈라 놓았다.
  4. 甲은 어느 날 문서가 전부 암호화되고 금전을 요구하는 화면이 뜬 사례를 찾아보았다. 랜섬웨어의 증상이라는 점을 정리하고 하이재킹 설명과 나란히 붙여 두 공격의 차이를 표시했다.

  TCP 세션 하이재킹은 시퀀스 번호 제어의 허점을 이용해 연결에 끼어드는 공격이다.

• 5

  생체 인증 측정에 대한 설명으로 옳지 않은 것은?

  1. 1. FRR는 권한이 없는 사람이 인증을 시도했을 때 실패하는 비율이다.
  2. 2. 생체 인식 시스템의 성능을 평가하는 지표로는 FAR, EER, FRR 등이 있다.
  3. 3. 생체 인식 정보는 신체적 특징과 행동적 특징을 이용하는 것들로 분류한다.
  4. 4. FAR는 권한이 없는 사람이 인증을 시도했을 때 성공하는 비율이다.

  정답 1번

  🔍 보기별 해설

  1. FRR(오거부율)은 등록된 정당한 사용자가 인증을 시도했는데 거부당하는 비율이다. 권한 없는 사람이 시도해 실패하는 비율로 설명한 것은 사실과 다르므로 옳지 않다(정답).
  2. 생체 인식 시스템은 오인식률 FAR, 오거부율 FRR, 두 값이 같아지는 교차 오류율 EER 등으로 성능을 평가한다. 지표의 나열이 정확하므로 적절하다.
  3. 생체 정보는 지문·홍채·얼굴 같은 신체적 특징과 서명·걸음걸이·키보드 입력 습관 같은 행동적 특징으로 나눈다. 분류가 정확하므로 적절하다.
  4. FAR(오인식률)은 권한이 없는 사람이 다른 사람으로 인식되어 인증에 성공하는 비율이다. 보안 강도와 직결되는 지표이며 서술이 맞으므로 적절하다.

  🧮 풀이

  1. 甲은 지문 출입 장치가 등록된 직원의 손가락을 자꾸 거부하는 상황을 보았다. 정당한 사용자가 거부되는 비율이 FRR이라고 정리하고 오인식률과 헷갈리지 않게 정의를 옆에 굵게 적어 두었다.
  2. 甲은 얼굴 인식 시스템 제안서에 FAR, FRR, EER 세 지표가 함께 제시된 것을 보았다. 임계값을 조정할 때 두 오류율이 서로 반대로 움직인다는 그래프를 공책에 그려 보았다.
  3. 甲은 스마트폰 설정에서 지문 인식과 얼굴 인식, 손으로 그리는 서명 인식을 하나씩 켜 보았다. 신체 특징과 행동 특징으로 나누어 표를 만들고 걸음걸이와 서명은 행동 칸에 적어 넣었다.
  4. 甲은 남의 지문이 등록자로 잘못 인식되는 사고를 가정해 보았다. 이런 경우가 FAR로 측정된다는 점을 확인하고 보안 강도를 높이려면 이 값을 낮춰야 한다는 문장에 밑줄을 그었다.

  FRR은 인가된 사용자를 잘못 거부하는 비율이고, 권한 없는 사람을 받아들이는 비율은 FAR이다.

• 6

  블록암호 카운터 운영모드에 대한 설명으로 옳지 않은 것은?

  1. 1. 암호화와 복호화는 같은 구조로 구성되어 있다.
  2. 2. 병렬로 처리할 수 있는 능력에 따라 처리속도가 결정된다.
  3. 3. 카운터를 암호화하고 평문블록과 XOR하여 암호블록을 생성한다.
  4. 4. 블록을 순차적으로 암호화․복호화 한다.

  정답 4번

  🔍 보기별 해설

  1. CTR 모드는 카운터 암호문을 키 스트림으로 쓰므로 암호화와 복호화 모두 같은 XOR 연산 구조이다. 두 과정이 동일하게 구성되므로 적절하다.
  2. CTR 모드는 각 블록의 카운터 값이 미리 정해져 있어 앞 블록 결과를 기다릴 필요 없이 병렬로 계산할 수 있다. 처리 속도가 병렬 처리 능력에 좌우되므로 적절하다.
  3. CTR 모드는 카운터 값을 블록 암호로 암호화해 얻은 값을 평문 블록과 XOR해 암호 블록을 만든다. 동작 방식을 정확히 서술했으므로 적절하다.
  4. 블록을 앞에서부터 차례로 암호화·복호화해야 하는 것은 앞 블록 결과가 뒤 블록에 이어지는 CBC 같은 모드의 특징이다. CTR은 순서에 얽매이지 않고 병렬 처리하므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 스트림처럼 쓰이는 CTR 모드 그림에서 암호화와 복호화 블록도가 똑같이 생겼다는 점을 발견했다. 두 그림을 겹쳐 보고 XOR 자리를 같은 색으로 칠해 표시했다.
  2. 甲은 여러 코어로 대용량 파일을 암호화하는 시험 환경 실습을 살펴보았다. 카운터 값만 나누어 주면 코어마다 독립적으로 계산된다는 점을 확인하고 코어별 작업 분담 그림을 그려 두었다.
  3. 甲은 카운터 값이 1, 2, 3으로 늘어나는 CTR 모드 예시를 종이에 그려 보았다. 각 카운터를 암호화한 값에 평문 블록을 XOR해 암호문을 얻는 세 단계를 화살표로 이어 붙였다.
  4. 甲은 CBC 모드에서 앞 암호문이 다음 블록에 섞여 들어가는 그림을 CTR 그림 옆에 나란히 놓았다. 앞 블록을 기다려야 하는 쪽이 순차 처리라는 점을 짚고 CTR 쪽에는 병렬이라 별표로 남겼다.

  CTR 모드는 카운터 값을 암호화해 평문과 XOR하는 방식이라 블록을 병렬로 처리할 수 있고 순차 처리에 묶이지 않는다.

• 7

  AES 알고리즘에 대한 설명으로 옳지 않은 것은?

  1. 1. 대먼과 리즈먼이 제출한 Rijndael이 AES 알고리즘으로 선정되었다.
  2. 2. 암호화 과정의 모든 라운드에서 SubBytes, ShiftRows, MixColumns, AddRoundKey 연산을 수행한다.
  3. 3. 키의 길이는 128, 192, 256 bit의 크기를 사용한다.
  4. 4. 입력 블록은 128 bit이다.

  정답 2번

  🔍 보기별 해설

  1. AES 선정 공모에서 벨기에의 대먼(Daemen)과 리즈먼(Rijmen)이 제출한 Rijndael이 채택되어 AES가 되었다. 사실과 일치하므로 적절하다.
  2. AES의 마지막 라운드에서는 MixColumns 연산을 하지 않고 SubBytes, ShiftRows, AddRoundKey만 수행한다. 모든 라운드에서 네 연산을 다 한다는 서술은 사실과 다르므로 옳지 않다(정답).
  3. AES의 키 길이는 128, 192, 256비트 세 가지이고 이에 따라 라운드 수가 각각 10, 12, 14로 정해진다. 키 길이 서술이 맞으므로 적절하다.
  4. AES는 128비트 블록 단위로 입력을 받아 처리하는 블록 암호이다. 키 길이와 무관하게 블록 크기는 128비트로 고정이므로 서술이 정확해 적절하다.

  🧮 풀이

  1. 甲은 AES가 만들어진 과정을 다룬 기사를 읽다가 벨기에 두 연구자의 이름이 이어지는 대목을 만났다. Rijndael이라는 이름이 두 사람 성의 조합이라는 설명을 공책에 옮겨 적었다.
  2. 甲은 AES 암호화 한 라운드의 흐름도를 마지막 라운드 그림과 나란히 놓고 비교했다. 마지막 라운드 그림에서만 열 섞기 단계가 빠져 있음을 확인하고 그 자리에 가위 표시를 해 두었다.
  3. 甲은 AES 라운드 수를 키 길이별로 정리하려고 표를 그렸다. 128비트는 10라운드, 192비트는 12라운드, 256비트는 14라운드로 적어 넣고 키 길이 세 가지에 동그라미를 쳤다.
  4. 甲은 AES가 한 번에 처리하는 데이터 크기가 무엇인지 궁금해 규격 자료를 펼쳤다. 128비트 블록이라는 대목을 찾아 4×4 바이트 행렬 그림과 함께 공책에 붙여 두었다.

  AES는 마지막 라운드에서 MixColumns를 생략한다. 모든 라운드에서 네 연산을 다 하는 것은 아니다.

• 8

  비트코인 블록 헤더의 구조에서 머클 루트에 대한 설명으로 옳지 않은 것은?

  1. 1. 머클 트리 루트의 해시값이다.
  2. 2. 머클 트리는 이진트리 형태이다.
  3. 3. SHA-256으로 해시값을 계산한다.
  4. 4. 필드의 크기는 64바이트이다.

  정답 4번

  🔍 보기별 해설

  1. 머클 루트는 블록에 담긴 거래들의 해시를 이진 트리로 묶어 올라간 맨 위의 해시값이다. 정의가 정확하므로 적절하다.
  2. 머클 트리는 거래 해시 두 개씩을 짝지어 다시 해시하는 과정을 반복하는 이진 트리이다. 짝이 맞지 않으면 마지막 값을 복제해 계산하므로 적절하다.
  3. 비트코인은 머클 트리의 각 노드를 SHA-256 해시로 계산하며 실제로는 두 번 적용한다. 사용 알고리즘 서술이 맞으므로 적절하다.
  4. SHA-256의 출력은 256비트로 32바이트이므로 블록 헤더의 머클 루트 필드도 32바이트이다. 64바이트라는 서술은 사실과 다르므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 블록 하나에 들어 있는 거래 여덟 개를 머클 트리로 그려 보았다. 맨 위에 남는 값 하나가 머클 루트이고 헤더에 실린다는 점을 표시하며 트리 꼭대기에 별을 달았다.
  2. 甲은 거래 다섯 개로 머클 트리를 그리다가 짝이 남는 자리에서 손을 멈췄다. 마지막 해시를 복제해 짝을 맞춘다는 규칙을 교재에서 찾아 그 자리에 복제 표시를 그려 넣었다.
  3. 甲은 SHA-256 계산기에 아무 문장이나 넣어 출력 길이를 살펴보았다. 입력이 길든 짧든 항상 같은 길이의 해시가 나온다는 것을 확인하고 머클 트리 각 칸에 해시라고 써 넣었다.
  4. 甲은 블록 헤더의 필드 표를 펼쳐 항목별 크기를 합해 보았다. 머클 루트 칸이 32바이트로 적혀 있는 것을 보고 SHA-256의 출력 길이와 일치한다고 옆에 적어 두었다.

  비트코인 블록 헤더의 머클 루트는 SHA-256 해시값이므로 32바이트이다. 64바이트가 아니다.

• 9

  SET에 대한 설명으로 옳지 않은 것은?

  1. 1. 인터넷에서 신용카드를 지불수단으로 이용하기 위한 기술이다.
  2. 2. 인증기관은 SET에 참여하는 모든 구성원의 정당성을 보장한다.
  3. 3. 고객등록에서는 지불 게이트웨이를 통하여 고객의 등록과 인증서의 처리가 이루어진다.
  4. 4. 상점등록에서는 인증 허가 기관에 등록하여 자신의 인증서를 만들어야 한다.

  정답 3번

  🔍 보기별 해설

  1. SET은 인터넷에서 신용카드로 결제할 때 카드 정보를 보호하기 위해 만들어진 프로토콜이다. 전자상거래용 결제 기술로 서술이 맞으므로 적절하다.
  2. SET은 인증기관이 카드 소지자, 상점, 지불 게이트웨이 등 참여자 모두에게 인증서를 발급해 정당성을 보증한다. 서술이 정확하므로 적절하다.
  3. SET의 고객 등록은 카드 소지자가 인증기관에 인증서를 요청해 받는 절차이고 지불 게이트웨이는 결제 승인을 처리하는 역할이다. 게이트웨이를 통해 등록한다는 서술은 맞지 않으므로 옳지 않다(정답).
  4. SET에서 상점도 인증기관에 등록해 자신의 인증서를 발급받아야 거래에 참여할 수 있다. 상점 등록 절차를 맞게 서술했으므로 적절하다.

  🧮 풀이

  1. 甲은 인터넷 쇼핑몰에서 카드로 결제할 때 카드번호가 상점에 그대로 보이지 않게 하는 방법이 있다는 글을 읽었다. 이를 위해 SET이 만들어졌다는 설명을 공책에 옮겨 적었다.
  2. 甲은 SET에 참여하는 카드 소지자, 상점, 게이트웨이, 인증기관을 네 칸으로 그려 보았다. 인증기관이 각각에게 인증서를 내주는 화살표를 모두 그리고 신뢰의 뿌리라고 표시해 놓았다.
  3. 甲은 SET에서 고객이 처음 인증서를 받는 과정을 순서도로 그렸다. 카드 소지자가 인증기관에 요청하는 화살표를 그리고 게이트웨이는 결제 승인 쪽에 놓아 역할을 갈랐다.
  4. 甲은 온라인 상점이 SET에 가입할 때 필요한 준비물을 찾아보았다. 인증기관에서 상점 인증서를 먼저 받아야 거래가 열린다는 항목을 확인하고 체크리스트 맨 위에 붙여 두었다.

  SET에서 고객 등록은 인증기관에 인증서를 요청하는 과정이다. 지불 게이트웨이를 거쳐 고객 등록이 이루어진다는 설명은 맞지 않다.

• 10

  「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)에 대한 설명으로 옳지 않은 것은?

  1. 1. 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다.
  2. 2. 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.
  3. 3. 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공할 수 있다.
  4. 4. 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 「개인정보 보호법」을 위반하여 발생한 손해배상책임에 대하여 수탁자를 개인정보처리자의 소속 직원으로 본다.

  정답 3번

  🔍 보기별 해설

  1. 홍보나 판매 권유 업무를 외부에 맡기면 무슨 업무를 누구에게 맡겼는지 정보주체가 알 수 있어야 한다. 알 권리를 보장하려는 취지의 조항이다. 조문 내용과 맞으므로 적절하다.
  2. 위탁자는 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 수탁자를 교육하고 안전하게 처리하는지 감독해야 한다. 조문 내용과 맞으므로 적절하다.
  3. 수탁자는 위탁받은 업무 범위를 초과해 개인정보를 이용하거나 제3자에게 제공해서는 안 된다. 범위를 넘어도 된다고 한 서술은 조문과 반대이므로 옳지 않다(정답).
  4. 수탁자가 위탁받은 업무를 처리하다 이 법을 위반해 손해가 생긴 경우에는 수탁자를 개인정보처리자의 소속 직원으로 본다. 조문 내용과 맞으므로 적절하다.

  🧮 풀이

  1. 甲은 쇼핑몰이 상품 홍보 문자를 대행사에 맡기는 계약서를 읽었다. 위탁하는 업무와 수탁자를 정보주체에게 알려야 한다는 규정을 찾아 점검 체크리스트 첫 줄에 옮겨 적어 두었다.
  2. 甲은 콜센터 운영을 외부 업체에 맡긴 회사의 점검 계획을 살펴보았다. 위탁자가 수탁자를 교육하고 처리 현황을 감독해야 한다는 조문을 근거로 점검 항목 칸에 옮겨 적었다.
  3. 甲은 배송 업무를 맡은 수탁 업체가 고객 주소로 자기 광고를 보낸 사례를 읽었다. 위탁받은 범위를 벗어난 이용이라 조문 위반이라고 판단하고 해당 문장에 빨간 밑줄을 그었다.
  4. 甲은 수탁자의 실수로 개인정보가 유출된 사례의 손해배상 부분을 읽었다. 수탁자를 소속 직원으로 본다는 조문 덕분에 위탁자에게도 책임이 미친다는 흐름을 도식으로 그려 보았다.

  수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공해서는 안 된다(법 제26조).

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 11

  IPv6에 대한 설명으로 옳지 않은 것은?

  1. 1. IP주소 부족 문제를 해결하기 위하여 등장하였다.
  2. 2. 128 bit 주소공간을 제공한다.
  3. 3. 유니캐스트는 단일 인터페이스를 정의한다.
  4. 4. 목적지 주소는 유니캐스트, 애니캐스트, 브로드캐스트 주소로 구분된다.

  정답 4번

  🔍 보기별 해설

  1. IPv6는 IPv4의 주소 고갈 문제를 해결하려고 나온 프로토콜이다. 훨씬 넓은 주소 공간이 등장의 핵심 동기이므로 서술이 정확해 적절하다.
  2. IPv6는 128비트 주소를 사용해 IPv4의 32비트 주소보다 훨씬 많은 주소를 제공한다. 주소 길이 서술이 맞으므로 적절하다.
  3. IPv6 유니캐스트 주소는 하나의 인터페이스를 식별하며 이 주소로 보낸 패킷은 그 인터페이스 하나에만 전달된다. 정의가 맞으므로 적절하다.
  4. IPv6의 목적지 주소는 유니캐스트, 멀티캐스트, 애니캐스트로 나뉘며 브로드캐스트는 없고 멀티캐스트가 그 역할을 대신한다. 브로드캐스트를 포함했으므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 스마트폰과 사물인터넷 기기가 늘어나 IPv4 주소가 바닥났다는 통계를 읽었다. 이 문제를 풀려고 IPv6가 나왔다는 설명을 찾아 두 방식의 등장 배경을 표에 나란히 옮겨 적었다.
  2. 甲은 IPv4는 32비트, IPv6는 128비트라는 사실을 표로 정리했다. 128비트가 2의 128제곱 개의 주소를 뜻한다는 점을 계산기로 두드려 보고 숫자 자릿수를 옆에 써 넣었다.
  3. 甲은 IPv6 주소 세 가지를 그림으로 구분해 보았다. 유니캐스트는 한 기기, 멀티캐스트는 그룹, 애니캐스트는 가장 가까운 한 기기로 향하는 화살표를 그려 넣고 이름 옆에 뜻을 메모해 두었다.
  4. 甲은 IPv6 규격 자료에서 브로드캐스트라는 낱말을 찾아보았지만 어디에도 나오지 않았다. 그 역할을 멀티캐스트가 맡는다는 설명에 밑줄을 긋고 IPv4 주소 종류 표와 나란히 견주었다.

  IPv6에는 브로드캐스트가 없다. 주소는 유니캐스트·멀티캐스트·애니캐스트로 구분한다.

• 12

  SSH를 구성하는 프로토콜에 대한 설명으로 옳은 것은?

  1. 1. SSH는 보통 TCP상에서 수행되는 3개의 프로토콜로 구성된다.
  2. 2. 연결 프로토콜은 서버에게 사용자를 인증한다.
  3. 3. 전송계층 프로토콜은 SSH 연결을 사용하여 한 개의 논리적 통신 채널을 다중화한다.
  4. 4. 사용자 인증 프로토콜은 전방향 안전성을 만족하는 서버인증만을 제공한다.

  정답 1번

  🔍 보기별 해설

  1. SSH는 서버 인증과 암호화를 맡는 전송 계층, 클라이언트 인증을 맡는 사용자 인증, 채널을 다중화하는 연결의 세 프로토콜로 구성되며 보통 TCP 위에서 수행된다. 서술이 맞으므로 옳다(정답).
  2. 서버에게 사용자를 인증하는 것은 사용자 인증 프로토콜의 역할이다. 연결 프로토콜은 하나의 연결 안에 여러 논리 채널을 다중화하므로 옳지 않다.
  3. 한 개의 SSH 연결에 여러 논리 채널을 다중화하는 것은 연결 프로토콜의 역할이다. 전송 계층 프로토콜은 서버 인증·암호화·무결성을 맡으므로 옳지 않다.
  4. 사용자 인증 프로토콜은 서버에게 클라이언트를 인증하는 절차이고 서버 인증은 전송 계층 프로토콜에서 이루어진다. 서버 인증만 제공한다는 서술은 맞지 않으므로 옳지 않다.

  🧮 풀이

  1. 甲은 SSH 구조를 다룬 자료에서 프로토콜이 세 개라는 대목을 읽었다. 전송 계층, 사용자 인증, 연결을 위에서 아래로 쌓은 그림을 그리고 TCP 위에서 돈다고 밑에 적었다.
  2. 甲은 SSH 접속 때 서버에서 비밀번호나 키를 요구하는 단계를 관찰했다. 이 단계가 클라이언트를 서버에 인증하는 사용자 인증 프로토콜이라고 정리해 연결 프로토콜 칸과 구분해 표시했다.
  3. 甲은 하나의 SSH 세션에서 셸과 파일 전송이 동시에 돌아가는 장면을 보았다. 논리 채널 여러 개를 한 연결에 얹는 일을 연결 프로토콜이 맡는다고 그림 아래에 적어 두었다.
  4. 甲은 처음 접속할 때 서버 지문을 확인하라는 경고창을 열어 보았다. 서버 인증은 전송 계층에서 끝나고 사용자 인증은 그 뒤에 이어진다는 순서를 공책에 그려 붙여 두었다.

  SSH는 전송 계층, 사용자 인증, 연결의 세 프로토콜로 구성되며 TCP 위에서 동작한다.

• 13

  유럽의 국가들에 의해 제안된 것으로 자국의 정보보호 시스템을 평가하기 위하여 제정된 기준은?

  1. 1. TCSEC
  2. 2. ITSEC
  3. 3. PIMS
  4. 4. ISMS-P

  정답 2번

  🔍 보기별 해설

  1. TCSEC은 미국 국방부가 만든 컴퓨터 시스템 평가 기준으로 오렌지북이라 불린다. 유럽이 아닌 미국에서 제정했으므로 옳지 않다.
  2. ITSEC은 영국·독일·프랑스·네덜란드 등 유럽 국가들이 TCSEC을 바탕으로 기능과 보증을 나누어 평가하도록 제정한 기준이다. 발문과 일치하므로 옳다(정답).
  3. PIMS는 개인정보 관리체계를 인증하는 국내 제도로 정보보호 시스템의 평가 기준으로 유럽에서 만든 것이 아니다. 발문과 맞지 않으므로 옳지 않다.
  4. ISMS-P는 정보보호 및 개인정보보호 관리체계를 함께 인증하는 국내 제도이다. 유럽 국가들이 제안한 평가 기준이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 정보보호 평가 기준의 역사를 다룬 글을 읽었다. 미국 국방부의 TCSEC이 있었는데도 유럽이 따로 ITSEC을 만들었다는 흐름을 연표 위에 그려 보고 연도 옆에 나라 이름을 붙여 두었다.
  2. 甲은 TCSEC이 표지 색깔 때문에 오렌지북이라고 불린다는 설명을 찾아보았다. 미국 국방부 기준이라는 점을 확인하고 유럽 기준과 헷갈리지 않게 표 위에 국가 이름을 크게 별표로 남겼다.
  3. 甲은 개인정보 관리체계 인증인 PIMS를 다룬 안내 자료를 열어 보았다. 국내에서 운영하는 인증 제도이며 유럽이 만든 평가 기준이 아니라는 점을 확인하고 국내 인증 칸에 옮겨 적어 두었다.
  4. 甲은 ISMS-P 인증 안내 문서를 읽고 누가 인증하는지 살펴보았다. 국내 기관이 운영하는 인증 제도라는 점을 짚은 뒤 해외 평가 기준 목록에서 이 항목을 지우고 국내 칸으로 옮겨 표시했다.

  유럽 국가들이 자국의 정보보호 시스템 평가를 위해 제정한 기준은 ITSEC이다. TCSEC은 미국 국방부 기준이다.

• 14

  「개인정보 보호법」 제3조(개인정보 보호 원칙)에 대한 설명으로 옳지 않은 것은?

  1. 1. 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.
  2. 2. 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다.
  3. 3. 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 비공개로 하여야 하며, 열람청구권 등 정보주체의 권리를 보장하여야 한다.
  4. 4. 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다.

  정답 3번

  🔍 보기별 해설

  1. 수집 목적을 분명히 밝히고 그 목적에 꼭 필요한 최소한만 정당하게 모아야 한다는 것이 제3조 제1항의 최소 수집 원칙이다. 조문과 같으므로 적절하다.
  2. 정보가 틀리거나 낡으면 정보주체가 피해를 보므로 정확하고 완전하고 최신 상태로 유지하라는 것도 제3조가 정한 원칙이다. 조문과 일치하므로 적절하다.
  3. 개인정보처리방침 등 처리에 관한 사항은 공개해야 하고 열람청구권 등 정보주체의 권리를 보장해야 한다. 비공개로 하라는 서술은 조문과 반대이므로 옳지 않다(정답).
  4. 익명 처리로 목적을 달성할 수 있으면 익명으로, 익명으로 안 되면 가명으로 처리되도록 해야 한다는 것은 제3조에 담긴 원칙이다. 조문과 맞으므로 적절하다.

  🧮 풀이

  1. 甲은 개인정보 보호 원칙을 다룬 조문을 읽고 최소 수집 원칙이 무엇인지 찾아보았다. 목적에 필요한 범위의 최소 정보만 수집하라는 문장에 밑줄을 긋고 회원가입 양식과 견주었다.
  2. 甲은 회원 정보가 오래되어 우편물이 반송된 사례를 보았다. 정확성과 최신성을 지키라는 조문 문구를 찾아 옆에 그대로 옮겨 적고 정기적으로 갱신하는 절차를 제안 메모로 붙여 두었다.
  3. 甲은 어느 쇼핑몰이 처리방침을 회원에게만 보이도록 숨겨 둔 사례를 읽었다. 방침을 공개하고 권리를 보장하라는 조문과 정반대라고 판단하고 공개 원칙 항목에 별표를 달아 두었다.
  4. 甲은 통계 작성 업무에서 이름을 지우고 분석해도 목적을 이룰 수 있는 상황을 가정해 보았다. 익명, 가명 순으로 처리 방식을 고르는 순서도를 그려 공책에 붙여 두었다.

  개인정보처리방침 등 처리에 관한 사항은 공개해야 한다. 비공개로 하라는 서술이 틀렸다.

• 15

  ISO/IEC 27001의 통제영역에 해당하지 않은 것은?

  1. 1. 정보보호 조직
  2. 2. IT 재해복구
  3. 3. 자산 관리
  4. 4. 통신 보안

  정답 2번

  🔍 보기별 해설

  1. 정보보호 조직은 ISO/IEC 27001 부속서의 통제영역 가운데 하나로 역할과 책임을 나누는 일을 다룬다. 목록에 실제로 들어 있는 영역이므로 옳지 않다.
  2. IT 재해복구라는 이름의 통제영역은 없고 업무연속성 관리의 정보보안 측면이라는 이름으로 다루어진다. 통제영역 목록에 없으므로 해당하지 않는다(정답).
  3. 자산 관리는 정보 자산을 찾아내고 소유자를 정하고 등급을 나누는 일을 다루는 통제영역이다. 목록에 실제로 들어 있어 통제영역에 해당한다.
  4. 통신 보안은 네트워크 보안 관리와 정보 전송 구간의 보호를 다루는 통제영역이다. 목록에 실제로 들어 있어 통제영역에 해당한다.

  🧮 풀이

  1. 甲은 ISO/IEC 27001 통제영역을 일일이 나열해 보았다. 정보보호 조직, 자산 관리, 통신 보안은 있는데 재해복구는 이름이 없어 업무연속성 항목으로 화살표를 그려 두었다.
  2. 甲은 회사 보안 담당자 조직도를 그리며 역할을 나누어 보았다. 이런 역할과 책임의 분리가 정보보호 조직 영역에 해당함을 확인하고 담당 업무를 조직도 옆에 하나씩 메모해 두었다.
  3. 甲은 회사 노트북과 서버 목록을 만들어 각각 소유자를 지정하고 등급을 나누었다. 자산 식별과 분류를 다루는 자산 관리 영역과 연결하고 목록 맨 위에 영역 이름을 표시해 놓았다.
  4. 甲은 사내 네트워크를 구간별로 나누고 메일과 파일이 오가는 전송 규칙을 정리했다. 이 일이 통신 보안 영역에 해당한다고 분류하고 통제 항목 표의 해당 칸에 옮겨 적었다.

  ISO/IEC 27001 통제영역에는 IT 재해복구라는 이름의 영역이 없다. 업무연속성 관리의 정보보안 측면이 대응 영역이다.

• 16

  접근제어 모델에 대한 설명으로 옳지 않은 것은?

  1. 1. 접근제어 모델은 강제적 접근제어, 임의적 접근제어, 역할기반 접근제어로 구분할 수 있다.
  2. 2. 임의적 접근제어 모델에는 Biba 모델이 있다.
  3. 3. 강제적 접근제어 모델에는 Bell-LaPadula 모델이 있다.
  4. 4. 역할기반 접근제어 모델은 사용자의 역할에 권한을 부여한다.

  정답 2번

  🔍 보기별 해설

  1. 접근통제 모델은 정책 결정 주체에 따라 강제적(MAC), 임의적(DAC), 역할기반(RBAC)으로 나눈다. 분류가 정확하므로 적절하다.
  2. Biba 모델은 무결성을 지키기 위한 강제적 접근통제 모델이다. 소유자가 권한을 정하는 임의적 접근통제가 아니므로 옳지 않다(정답).
  3. Bell-LaPadula 모델은 보안 등급에 따라 접근을 통제하는 기밀성 중심의 강제적 접근통제 모델이다. 분류가 맞으므로 적절하다.
  4. 역할기반 접근통제는 사용자에게 직접 권한을 주지 않고 역할에 권한을 부여하며 사용자를 역할에 배정한다. 서술이 맞으므로 적절하다.

  🧮 풀이

  1. 甲은 접근통제 세 방식을 정책 결정 주체별로 나누어 표를 그렸다. 시스템이 정하면 강제적, 소유자가 정하면 임의적, 역할이 정하면 역할기반이라고 칸마다 적어 두었다.
  2. 甲은 Biba와 Bell-LaPadula 모델을 나란히 놓고 지키는 대상을 비교했다. Biba는 무결성, BLP는 기밀성이라고 쓰고 두 모델 모두 강제적 접근통제 칸에 넣었다.
  3. 甲은 군 문서에 붙은 등급에 따라 읽기와 쓰기 규칙이 정해지는 예를 살펴보았다. 사용자가 아니라 시스템이 등급으로 정하는 강제적 접근통제라는 점을 확인하고 Bell-LaPadula 옆에 표시했다.
  4. 甲은 회사의 경리, 인사, 개발 역할별로 권한이 정해진 표를 직접 만들어 보았다. 직원이 부서를 옮기면 역할만 바꾸면 된다는 점을 짚어 역할기반 접근통제의 장점으로 별표로 남겼다.

  Biba는 무결성 중심의 강제적 접근통제(MAC) 모델이다. 임의적 접근통제(DAC) 모델이 아니다.

• 17

  운영체제에 대한 설명으로 옳지 않은 것은?

  1. 1. 윈도 시스템에는 FAT, FAT32, NTFS가 있다.
  2. 2. 메모리 관리는 프로그램이 메모리를 요청하면 적합성을 점검하고 적합하다면 메모리를 할당한다.
  3. 3. 인터럽트는 작동 중인 컴퓨터에 예기치 않은 문제가 발생한 것이다.
  4. 4. 파일 관리는 명령어들을 체계적이고 효율적으로 실행할 수 있도록 작업스케줄링하고 사용자의 작업 요청을 수용하거나 거부한다.

  정답 4번

  🔍 보기별 해설

  1. 윈도 시스템의 파일 시스템으로 FAT, FAT32, NTFS가 있다. NTFS는 접근권한과 저널링 등을 지원하므로 적절하다.
  2. 운영체제는 프로그램의 메모리 요청을 받아 가능한 만큼 자리를 내주고 사용이 끝나면 되찾는다. 이것이 메모리 관리의 역할이다. 서술이 맞으므로 적절하다.
  3. 컴퓨터가 일을 하는 도중 예기치 못한 문제나 입출력 사건이 생기면 CPU에 알려 처리를 요구하는 신호가 인터럽트이다. 정의가 정확하므로 적절하다.
  4. 명령어를 효율적으로 실행하도록 작업을 스케줄링하고 요청을 수용·거부하는 일은 프로세스 관리의 역할이다. 파일 관리의 설명으로 서술한 것은 맞지 않으므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 윈도 탐색기에서 각 드라이브의 속성 창을 열어 파일 시스템 항목을 확인했다. NTFS로 표시된 것을 보고 예전에 쓰던 FAT, FAT32와 나란히 종류를 공책에 써 넣었다.
  2. 甲은 프로그램을 여러 개 켠 채 작업 관리자에서 메모리 사용량이 오르내리는 모습을 지켜보았다. 요청과 할당과 회수가 반복되는 흐름을 화살표로 그려 메모리 관리의 역할이라고 표시했다.
  3. 甲은 키보드를 누를 때 CPU가 하던 일을 잠시 멈추고 입력을 먼저 처리한 뒤 돌아가는 그림을 보았다. 이렇게 처리를 요청하는 신호를 인터럽트라고 부른다는 설명에 밑줄을 그었다.
  4. 甲은 운영체제 기능을 프로세스, 메모리, 파일, 입출력으로 나누어 표를 만들었다. 작업 스케줄링은 프로세스 칸에 넣고 파일 관리 칸에는 저장 방식과 접근 권한만 남겨 적었다.

  작업 스케줄링과 작업 요청의 수용·거부는 프로세스 관리의 기능이다. 파일 관리의 설명이 아니다.

• 18

  「정보통신망 이용촉진 및 정보보호 등에 관한 법률」의 용어에 대한 설명으로 옳지 않은 것은?

  1. 1. “정보통신서비스 제공자”란 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다.
  2. 2. “통신과금서비스이용자”란 정보통신서비스 제공자가 제공하는 정보통신서비스를 이용하는 자를 말한다.
  3. 3. “전자문서”란 컴퓨터 등 정보처리능력을 가진 장치에 의하여 전자적인 형태로 작성되어 송수신되거나 저장된 문서형식의 자료로서 표준화된 것을 말한다.
  4. 4. 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위로 인하여 발생한 사태는 “침해사고”에 해당한다.

  정답 2번

  🔍 보기별 해설

  1. 정보통신서비스 제공자는 전기통신사업자와 영리 목적으로 전기통신역무를 이용해 정보를 제공하거나 매개하는 자를 말한다. 정의가 맞으므로 적절하다.
  2. 통신과금서비스이용자는 통신과금서비스제공자로부터 통신과금서비스를 이용해 재화나 용역을 구입·이용하는 자이다. 정보통신서비스 이용자로 정의한 것은 맞지 않으므로 옳지 않다(정답).
  3. 전자문서는 종이가 아니라 컴퓨터 같은 장치 안에서 전자적으로 만들어지고 주고받고 저장되며 표준화된 문서형식의 자료를 뜻한다. 정의가 맞으므로 적절하다.
  4. 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스거부, 고출력 전자기파 등으로 정보통신망이나 정보시스템을 공격해 발생한 사태는 침해사고이다. 정의가 맞으므로 적절하다.

  🧮 풀이

  1. 甲은 통신사 요금과 함께 콘텐츠 이용료가 청구되는 소액결제 내역서를 살펴보았다. 통신과금서비스를 이용해 재화를 구입한 사람이 통신과금서비스이용자라고 법 용어를 옮겨 적었다.
  2. 甲은 포털과 쇼핑몰, 통신사가 각각 어떤 사업자인지 가려 보았다. 영리 목적으로 정보를 제공하거나 그 제공을 매개하는 자는 정보통신서비스 제공자라고 분류해 표에 적어 두었다.
  3. 甲은 결재 문서가 종이 없이 오가는 사내 전자문서 시스템을 열어 보았다. 컴퓨터 안에서 전자적 형태로 작성되고 저장되며 표준화된 자료라는 법 정의에 밑줄을 긋고 화면 이름을 표시해 놓았다.
  4. 甲은 메일폭탄으로 서버가 멈춘 사고 보고서를 읽었다. 이런 공격으로 생긴 사태가 침해사고에 해당한다는 법 조문의 문구를 찾아 사고 유형 옆에 그대로 옮겨 적어 견주었다.

  통신과금서비스이용자는 통신과금서비스를 이용해 재화 등을 구입·이용하는 자이다. 정보통신서비스 이용자와 혼동한 서술이 틀렸다.

• 19

  스니핑 공격에 대한 설명으로 옳지 않은 것은?

  1. 1. 스위치에서 ARP 스푸핑 기법을 이용하면 스니핑 공격이 불가능하다.
  2. 2. 모니터링 포트를 이용하여 스니핑 공격을 한다.
  3. 3. 스니핑 공격 방지책으로는 암호화하는 방법이 있다.
  4. 4. 스위치 재밍을 이용하여 위조한 MAC 주소를 가진 패킷을 계속 전송하여 스니핑 공격을 한다.

  정답 1번

  🔍 보기별 해설

  1. 스위치는 MAC 주소별로 패킷을 보내 스니핑이 어렵지만 ARP 스푸핑으로 트래픽을 공격자를 거치도록 유도하면 스니핑이 가능하다. 불가능하다는 서술은 틀리므로 옳지 않다(정답).
  2. 스위치의 모니터링(미러링) 포트는 다른 포트의 트래픽을 복사해 보내는 기능이어서 이 포트에 연결하면 스니핑할 수 있다. 서술이 맞으므로 적절하다.
  3. 스니핑을 막는 대표적인 방법은 통신 내용을 암호화해 중간에서 가로채도 읽지 못하게 하는 것이다. 서술이 정확하므로 적절하다.
  4. 스위치 재밍은 위조한 MAC 주소 패킷을 계속 보내 주소 테이블을 넘치게 해 스위치가 허브처럼 모든 포트로 뿌리게 하는 공격이다. 스니핑에 이용되므로 적절하다.

  🧮 풀이

  1. 甲은 스위치가 목적지 포트로만 패킷을 보낸다는 설명을 읽고도 사내망에서 스니핑이 성공한 사례를 접했다. ARP 스푸핑으로 트래픽을 우회시킨 흐름을 화살표로 그려 보았다.
  2. 甲은 스위치에서 포트 미러링을 켜는 시험 환경 실습 화면을 열었다. 복사된 패킷이 분석 장비로 그대로 들어온다는 것을 확인하고 스니핑이 가능한 경로에 미러링이라고 적어 넣었다.
  3. 甲은 카페 공용 와이파이에서 암호화가 없는 사이트가 위험하다는 안내문을 읽었다. 통신 내용을 암호화하면 스니핑으로 가로채도 읽지 못한다는 문장에 밑줄을 긋고 방지책 칸에 옮겼다.
  4. 甲은 스위치 주소 테이블이 가짜 MAC 주소로 가득 차는 그림을 보았다. 그 뒤 스위치가 모든 포트로 패킷을 뿌리는 허브 같은 상태가 된다는 점을 붉은 화살표로 짚어 표시했다.

  스위치 환경에서도 ARP 스푸핑을 쓰면 스니핑이 가능하다. 스니핑이 불가능하다는 서술이 틀렸다.

• 20

  「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」에서 인증심사원에 대한 설명으로 옳지 않은 것은?

  1. 1. 인증심사원의 자격 유효기간은 자격을 부여 받은 날부터 3년으로 한다.
  2. 2. 인증심사 과정에서 취득한 정보 또는 서류를 관련 법령의 근거나 인증신청인의 동의 없이 누설 또는 유출하거나 업무목적 외에 이를 사용한 경우에는 인증심사원의 자격이 취소될 수 있다.
  3. 3. 인증위원회는 자격 유효기간 동안 1회 이상의 인증심사를 참여한 인증심사원에 대하여 자격유지를 위해 자격 유효기간 만료 전까지 수료하여야하는 보수 교육시간 전부를 이수한 것으로 인정할 수 있다.
  4. 4. 인증심사원의 등급별 자격요건 중 선임심사원은 심사원 자격취득자로서 정보보호 및 개인정보보호 관리체계 인증심사를 3회 이상 참여하고 심사일수의 합이 15일 이상인 자이다.

  정답 3번

  🔍 보기별 해설

  1. 인증심사원의 자격 유효기간은 자격을 부여받은 날부터 3년이라고 고시 제15조에 정해져 있다. 고시와 일치하므로 적절하다.
  2. 인증심사 과정에서 취득한 정보나 서류를 근거나 동의 없이 누설·유출하거나 업무 목적 외로 쓰면 인증심사원의 자격이 취소될 수 있다. 비밀유지 의무에 관한 내용으로 적절하다.
  3. 고시는 자격 유효기간 동안 1회 이상 인증심사에 참여한 인증심사원에게 보수교육 시간 중 일부를 이수한 것으로 인정할 수 있다고 규정한다. 전부를 인정한다는 서술은 맞지 않으므로 옳지 않다(정답).
  4. 인증심사원의 등급별 자격요건은 고시 별표에서 정하며 선임심사원은 심사 참여 횟수와 심사일수를 기준으로 한다. 이 보기는 출제에서 옳은 서술로 다루어졌으므로 적절하다.

  🧮 풀이

  1. 甲은 ISMS-P 인증심사원 자격증의 유효기간이 언제까지인지 고시 조문을 찾아보았다. 자격 부여일부터 3년이라는 문구를 확인하고 달력에 만료 예정일을 표시해 두었다.
  2. 甲은 인증심사 중 알게 된 회사 서류를 SNS에 올리면 안 된다는 교육 자료를 읽었다. 근거 없이 누설하면 자격이 취소될 수 있다는 항목에 밑줄을 긋고 주의 목록에 옮겨 적었다.
  3. 甲은 보수교육 시간이 인증심사에 참여하면 줄어드는 제도를 살펴보았다. 고시 문구가 전부가 아니라 일부 이수 인정이라는 점을 확인하고 전부라고 적어 둔 메모를 지워 표시했다.
  4. 甲은 심사원보, 심사원, 선임심사원의 등급별 요건이 나뉜 별표를 열어 보았다. 등급이 오를수록 참여 횟수와 일수 기준이 커지는 흐름을 표로 그려 공책에 붙여 두었다.

  고시에서 보수교육 시간은 인터넷진흥원이 일부를 이수한 것으로 인정할 수 있을 뿐, 인증위원회가 전부를 인정하는 것이 아니다.

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 21

  SSS(Server Side Script) 언어에 해당하지 않는 것은?

  1. 1. IIS
  2. 2. PHP
  3. 3. ASP
  4. 4. JSP

  정답 1번

  🔍 보기별 해설

  1. IIS(Internet Information Services)는 마이크로소프트가 만든 웹 서버 프로그램이지 스크립트 언어가 아니다. 다른 세 보기와 달리 코드를 작성하는 언어가 아니므로 언어에 해당하지 않는다(정답).
  2. PHP는 웹 서버에서 실행되어 HTML을 동적으로 만들어 내는 서버 측 스크립트 언어이다. 서버에서 처리한 결과만 브라우저로 보내므로 서버 측 스크립트 언어에 해당한다.
  3. ASP는 마이크로소프트 환경에서 서버가 페이지를 만들어 응답하도록 하는 서버 측 스크립트 기술이다. 서버 안에서 실행되는 코드이므로 서버 측 스크립트 언어에 해당한다.
  4. JSP는 자바 기반으로 서버에서 실행되어 동적 웹 페이지를 만드는 서버 측 기술이다. 서블릿으로 변환되어 서버에서 처리되므로 서버 측 스크립트 언어에 해당한다.

  🧮 풀이

  1. 甲은 웹 서버 설정 화면을 열어 서버 프로그램의 이름이 IIS로 표시된 것을 보았다. 언어가 아니라 서버 소프트웨어라는 점을 짚고 PHP와 ASP는 언어 칸에, IIS는 서버 칸에 나누어 빈 줄에 메모해 두었다.
  2. 甲은 게시판 페이지의 주소 끝이 .php로 끝나는 것을 보고 어떤 방식인지 알아보았다. 서버에서 실행된 결과만 화면으로 온다는 설명을 찾아 서버 측 스크립트라는 이름을 옆에 써 넣었다.
  3. 甲은 오래된 관공서 사이트의 주소가 .asp로 끝나는 것을 발견했다. 마이크로소프트 서버에서 돌아가는 서버 측 기술이라는 점을 확인하고 언어 목록에 ASP를 추가해 붙여 두었다.
  4. 甲은 자바로 만든 쇼핑몰 화면이 .jsp 파일이라는 점을 개발자 도구로 확인했다. 서버에서 처리되어 브라우저에는 결과만 오는 구조를 그림으로 그려 서버 측 스크립트 칸에 표시했다.

  PHP·ASP·JSP는 서버 측에서 실행되는 스크립트 언어이고 IIS는 마이크로소프트의 웹 서버 소프트웨어이다.

• 22

  정보나 정보시스템을 누가, 언제, 어떤 방법을 통하여 사용했는지 추적할 수 있도록 하는 것은?

  1. 1. 인증성
  2. 2. 가용성
  3. 3. 부인방지
  4. 4. 책임추적성

  정답 4번

  🔍 보기별 해설

  1. 인증성은 사용자의 신원이나 메시지의 출처가 주장과 같은지 확인하는 성질이다. 사용 기록을 남겨 행위를 추적하는 것과는 다른 개념이므로 옳지 않다.
  2. 가용성은 허가된 사용자가 필요할 때 정보와 시스템을 이용할 수 있게 하는 성질이다. 행위의 누가·언제·어떻게를 추적하는 성질이 아니므로 옳지 않다.
  3. 부인방지는 송신이나 수신 같은 행위를 나중에 부인하지 못하게 증거를 확보하는 성질이다. 전자서명이 대표적이며 모든 사용 이력을 추적하는 개념과는 초점이 다르므로 옳지 않다.
  4. 책임추적성은 로그와 감사 기록을 통해 누가 언제 어떤 방법으로 정보나 시스템을 사용했는지 추적할 수 있게 하는 성질이다. 발문 그대로의 정의이므로 옳다(정답).

  🧮 풀이

  1. 甲은 회사 서버의 접속 기록을 열어 아이디와 접속 시각과 실행한 명령이 남아 있는 것을 보았다. 사고가 나면 이 기록으로 사용자를 거슬러 찾을 수 있다는 점을 책임추적성이라고 정리해 두었다.
  2. 甲은 사내 메신저에서 누가 보낸 요청인지 확인하려고 로그인 절차를 거치는 장면을 떠올렸다. 이는 신원을 확인하는 인증성이고 기록을 남겨 추적하는 것은 아니라는 차이를 표로 나누어 그렸다.
  3. 甲은 접속 폭주로 예약 사이트가 열리지 않은 사고 기사를 읽었다. 이용을 막은 문제는 가용성의 영역이라고 판단하고 사용자 추적을 다루는 책임추적성과 별도 줄에 나누어 적었다.
  4. 甲은 전자계약서에 서명한 사람이 나중에 서명한 적이 없다고 우기는 상황을 가정해 보았다. 이를 막는 성질은 부인방지라고 정리하고 기록 추적과 구분되게 다른 색 펜으로 밑줄을 그었다.

  누가 언제 어떤 방법으로 정보시스템을 사용했는지 추적할 수 있게 하는 성질은 책임추적성이다.

• 23

  디지털포렌식의 원칙에 대한 설명으로 옳지 않은 것은?

  1. 1. 연계성의 원칙: 수집된 증거가 위변조되지 않았음을 증명해야 한다.
  2. 2. 정당성의 원칙: 법률에서 정하는 적법한 절차와 방식으로 증거가 입수되어야 하며 입수 경위에서 불법이 자행되었다면 그로 인해 수집된 2차적 증거는 모두 무효가 된다.
  3. 3. 재현의 원칙: 불법 해킹 용의자의 해킹 도구가 증거 능력을 가지기 위해서는 같은 상황의 피해 시스템에 도구를 적용할 경우 피해 상황과 일치하는 결과가 나와야 한다.
  4. 4. 신속성의 원칙: 컴퓨터 내부의 정보는 휘발성을 가진 것이 많기 때문에 신속하게 수집되어야 한다.

  정답 1번

  🔍 보기별 해설

  1. 증거가 위변조되지 않았음을 증명하는 것은 무결성의 원칙이고 연계성의 원칙은 증거 획득·이송·분석·보관·제출 전 과정이 끊김 없이 이어져 추적된다는 뜻이다. 두 원칙을 뒤섞었으므로 옳지 않다(정답).
  2. 정당성의 원칙은 법이 정한 적법한 절차로 증거를 입수해야 한다는 원칙이다. 불법으로 얻은 증거에서 파생된 2차 증거도 증거능력이 없다는 서술이 맞으므로 적절하다.
  3. 재현의 원칙은 같은 조건에서 같은 도구로 조사하면 같은 결과가 나와야 한다는 원칙이다. 해킹 도구가 피해 상황과 일치하는 결과를 내야 한다는 예시가 맞으므로 적절하다.
  4. 신속성의 원칙은 메모리처럼 전원이 꺼지면 사라지는 휘발성 정보가 많아 증거를 빨리 수집해야 한다는 원칙이다. 서술이 맞으므로 적절하다.

  🧮 풀이

  1. 甲은 압수한 하드디스크의 해시값을 수집 직후와 제출 직전에 각각 계산해 견주어 보았다. 두 값이 같아야 위변조가 없음을 증명하는 것이므로 이 원칙은 무결성이라고 곁에 표시해 놓았다.
  2. 甲은 경찰이 영장 없이 얻은 USB의 내용이 재판에서 배제된 사례를 읽었다. 적법한 절차를 요구하는 정당성의 원칙이라는 점을 짚고 그 뒤에 파생된 증거도 함께 배제되었다는 대목에 밑줄을 그었다.
  3. 甲은 해킹 도구가 정말 피해를 일으켰는지 같은 환경에서 다시 돌려 확인하는 절차를 그림으로 그렸다. 같은 결과가 재현되어야 증거가 된다는 재현의 원칙을 도구 이름 옆에 적었다.
  4. 甲은 서버를 끄기 전에 메모리 덤프부터 뜨는 이유를 사고 대응 매뉴얼에서 찾아보았다. 전원이 꺼지면 휘발성 정보가 사라지므로 신속하게 수집해야 한다는 문장에 밑줄을 그었다.

  수집된 증거가 위변조되지 않았음을 증명하는 원칙은 무결성의 원칙이다. 연계성(연계보관성)은 증거의 획득부터 제출까지 전 과정을 추적 가능하게 하는 것이다.

• 24

  다음에서 설명하는 국내 인증 제도는?

  ○ 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 의한 정보보호 관리체계 인증과 「개인정보 보호법」에 의한 개인정보보호 관리체계 인증에 관한 사항을 통합하여 한국인터넷진흥원과 금융보안원에서 인증하고 있다.

  ○ 한국정보통신진흥협회, 한국정보통신기술협회, 개인정보보호협회에서 인증심사를 수행하고 있다.

  1. 1. CC
  2. 2. BS7799
  3. 3. TCSEC
  4. 4. ISMS-P

  정답 4번

  🔍 보기별 해설

  1. CC(공통평가기준)는 정보보호 제품의 보안 기능을 국제 표준으로 평가하는 제도이다. 관리체계를 통합한 국내 인증이 아니므로 옳지 않다.
  2. BS7799는 영국에서 만든 정보보안 관리 표준으로 ISO/IEC 27001의 전신이다. 국내 법령에 따라 인증하는 제도가 아니므로 옳지 않다.
  3. TCSEC은 미국 국방부가 만든 컴퓨터 시스템 보안 평가 기준이다. 국내 법령에 근거해 관리체계를 인증하는 제도가 아니므로 옳지 않다.
  4. ISMS-P는 정보통신망법의 정보보호 관리체계 인증과 개인정보 보호법의 개인정보보호 관리체계 인증을 통합한 국내 제도이다. 한국인터넷진흥원과 금융보안원이 인증하므로 옳다(정답).

  🧮 풀이

  1. 甲은 회사가 받은 인증서를 살펴보다가 정보보호와 개인정보보호 항목이 한 장에 묶여 있는 것을 보았다. 두 인증을 통합한 국내 제도가 ISMS-P라는 설명에 밑줄을 그었다.
  2. 甲은 해외 제품을 평가하는 국제 기준을 찾다가 CC라는 이름을 만났다. 제품 보안 기능을 평가하는 제도라 관리체계 인증과는 다르다고 판단하고 표에서 CC를 다른 칸으로 옮겼다.
  3. 甲은 정보보안 표준의 역사를 다룬 글에서 영국 표준 BS7799가 ISO/IEC 27001로 이어졌다는 흐름을 읽었다. 국내 인증과 구분되도록 연표에 나라 이름을 함께 적어 넣었다.
  4. 甲은 오렌지북이라 불리는 TCSEC이 미국 국방부의 평가 기준이라는 설명을 찾았다. 국내 제도와 섞이지 않게 발급 나라와 용도를 짧게 적어 표의 국내 칸 밖에 두었다.

  정보보호 관리체계(ISMS)와 개인정보보호 관리체계(PIMS)를 통합한 국내 인증은 ISMS-P이다.

• 25

  「개인정보 보호법」 제28조의2(가명정보의 처리 등)의 내용으로서 (가)와 (나)에 들어갈 용어를 바르게 연결한 것은?

  제1항 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 (가) 가명정보를 처리할 수 있다. 제2항 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함 (나) . (가) (나)

  1. 1. 동의를 받아 할 수 있다
  2. 2. 동의를 받아 해서는 아니 된다
  3. 3. 동의 없이 해서는 아니 된다
  4. 4. 동의 없이 할 수 있다

  정답 3번

  🔍 보기별 해설

  1. (가)에 동의를 받아를 넣으면 가명정보 처리의 특례가 사라진다. 이 규정은 동의 없이 통계작성 등을 위해 처리할 수 있게 한 것이므로 옳지 않다.
  2. (가)가 동의를 받아이면 특례의 취지와 어긋나고 (나)의 해서는 아니 된다만 맞다. 둘 가운데 (가)가 틀렸으므로 조합이 옳지 않다.
  3. (가)는 통계작성, 과학적 연구, 공익적 기록보존 목적일 때 정보주체의 동의 없이 가명정보를 처리할 수 있다는 뜻이고 (나)는 제3자에게 줄 때 특정 개인을 알아볼 수 있는 정보를 포함해서는 안 된다는 뜻이다. 조합이 옳다(정답).
  4. (가)는 동의 없이가 맞지만 (나)를 할 수 있다로 하면 재식별이 가능한 정보가 제3자에게 넘어간다. 제공 시 특정 개인을 알아보는 정보를 넣는 것은 금지되므로 조합이 옳지 않다.

  🧮 풀이

  1. 甲은 병원이 환자 진료 자료를 이름 대신 번호로 바꿔 연구팀에 넘기는 사례를 읽었다. 연구 목적이면 동의 없이도 가명 처리가 가능하다는 조문 문구를 찾아 형광펜으로 표시했다.
  2. 甲은 가명정보를 다른 회사에 넘길 때 주소와 생년월일이 그대로 붙은 표를 발견했다. 특정 개인을 알아보는 정보를 넣어 제공해서는 안 된다는 조문에 어긋난다고 보고 그 열을 붉게 칠했다.
  3. 甲은 통계작성, 과학적 연구, 공익적 기록보존 세 가지 목적을 카드에 하나씩 옮겨 적었다. 이 목적일 때만 동의 없이 가명정보를 쓸 수 있다는 점을 카드 뒷면에 정리해 두었다.
  4. 甲은 동의를 받아야 한다는 선택지가 왜 틀린지 조문 표를 보며 따져 보았다. 특례의 핵심이 동의 없이 처리를 허용하는 점이라는 것을 짚고 오답 이유를 옆에 써 넣었다.

  가명정보는 통계작성·과학적 연구·공익적 기록보존 목적이면 정보주체의 동의 없이 처리할 수 있다. 제3자 제공 시 특정 개인을 알아보는 정보를 포함해서는 안 된다.

• 26

  SSL을 구성하는 프로토콜에 대한 설명으로 옳은 것은?

  1. 1. Handshake는 두 단계로 이루어진 메시지 교환 프로토콜로서 클라이언트와 서버 사이의 암호학적 비밀 확립에 필요한 정보를 교환하기 위한 것이다.
  2. 2. 클라이언트와 서버는 각각 상대방에게 ChangeCipherSpec 메시지를 전달함으로써 메시지의 서명 및 암호화에 필요한 매개변수가 대기 상태에서 활성화되어 비로소 사용할 수 있게 된다.
  3. 3. 송신 측의 Record 프로토콜은 응용 계층 또는 상위 프로토콜의 메시지를 단편화, 암호화, 압축, 서명, 헤더 추가의 순서로 처리하여 전송 프로토콜에 전달한다.
  4. 4. Alert 프로토콜은 Record 프로토콜의 하위 프로토콜로서 처리 과정의 오류를 알리는 메시지를 전달한다.

  정답 2번

  🔍 보기별 해설

  1. SSL Handshake는 보안 능력 협상, 서버 인증과 키 교환, 클라이언트 인증과 키 교환, 종료의 네 단계로 이루어진다. 두 단계라는 서술은 사실과 다르므로 옳지 않다.
  2. 클라이언트와 서버는 각각 ChangeCipherSpec 메시지를 보내 협상한 암호 매개변수를 대기 상태에서 현재 상태로 바꾸고 이후 Record 계층에서 사용한다. 서술이 정확하므로 옳다(정답).
  3. Record 프로토콜은 송신 시 메시지를 단편화하고 압축한 뒤 MAC을 붙이고 암호화하고 헤더를 더한다. 압축 전에 암호화한다는 순서는 사실과 다르므로 옳지 않다.
  4. Alert 프로토콜은 오류나 연결 종료를 알리는 메시지를 전달하며 Record 프로토콜 위에서 동작하는 상위 프로토콜이다. Record의 하위 프로토콜이라는 서술은 틀리므로 옳지 않다.

  🧮 풀이

  1. 甲은 HTTPS 접속을 패킷으로 잡아 핸드셰이크가 몇 단계로 나뉘는지 세어 보았다. 두 단계가 아니라 네 단계라는 자료를 찾아 종류별로 화살표 네 개로 나누어 그렸다.
  2. 甲은 SSL 접속 과정에서 ChangeCipherSpec 메시지가 오간 직후부터 데이터가 암호화되어 보이는 것을 확인했다. 이 메시지가 암호 규약을 실제로 켜는 신호라는 점을 공책에 적어 두었다.
  3. 甲은 Record 프로토콜의 처리 순서를 단편화, 압축, MAC, 암호화, 헤더 추가로 줄지어 그렸다. 암호화가 압축 뒤에 온다는 점을 짚고 순서가 뒤바뀐 보기와 선으로 이어 견주었다.
  4. 甲은 SSL 프로토콜 계층도를 그려 Record가 맨 아래에 놓이고 Handshake와 Alert가 그 위에 얹힌 것을 확인했다. Alert의 위치를 화살표로 짚고 하위가 아니라 상위라고 옆에 써 넣었다.

  ChangeCipherSpec 메시지를 주고받으면 협상된 암호 매개변수가 대기 상태에서 활성 상태로 바뀌어 사용된다.

• 27

  블록체인 기술의 하나인 하이퍼레저 패브릭에 대한 설명으로 옳지 않은 것은?

  1. 1. 허가형 프라이빗 블록체인의 형태로 MSP(Membership Service Provider)라는 인증 관리 시스템에 등록된 사용자만 참여할 수 있다.
  2. 2. 체인코드라는 스마트 컨트랙트를 통해서 분산 원장의 데이터를 읽고 쓸 수 있다.
  3. 3. 분산 원장은 원장의 현재 상태를 나타내는 월드 스테이트와 원장의 생성 시점부터 현재까지의 사용 기록을 저장하는 블록체인 두 가지로 구성된다.
  4. 4. 트랜잭션을 정해진 순서로 정렬하는 과정을 합의로 정의하고, 이를 위해 지분 증명 방식과 BFT(Byzantine Fault Tolerance) 알고리즘을 사용한다.

  정답 4번

  🔍 보기별 해설

  1. Fabric은 허가형 프라이빗 블록체인이며 MSP로 신원을 관리해 등록된 사용자만 참여한다. 서술이 정확하므로 적절하다.
  2. 체인코드는 Fabric의 스마트 컨트랙트로 분산 원장의 데이터를 읽고 쓰는 프로그램이다. 서술이 정확하므로 적절하다.
  3. Fabric의 원장은 현재 상태 값을 담은 월드 스테이트와 그 변경 이력을 기록한 블록체인 두 부분으로 구성된다. 서술이 정확하므로 적절하다.
  4. Fabric은 오더링 서비스가 트랜잭션을 정해진 순서로 정렬해 합의에 이르는 구조이다. 지분 증명(PoS)은 화폐 지분에 기반한 퍼블릭 체인의 방식이어서 Fabric의 합의 방식이라는 서술은 틀리므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 회사 컨소시엄이 쓰는 블록체인에 가입하려면 인증서를 받아야 한다는 안내를 읽었다. 아무나 참여하는 퍼블릭과 달리 등록된 사람만 참여하는 허가형이라는 점을 표로 나누어 그렸다.
  2. 甲은 거래 규칙을 코드로 적어 원장에 올리는 실습 자료를 보았다. 이 코드가 체인코드라고 불리며 스마트 컨트랙트에 해당한다는 사실을 살펴보고 이름을 괄호로 함께 써 넣었다.
  3. 甲은 Fabric 원장의 저장 구조 그림에서 현재 값을 담은 상자와 이력을 잇는 블록 사슬이 나란히 있는 것을 보았다. 상자에는 월드 스테이트라고 적고 사슬에는 블록체인이라고 이름을 붙였다.
  4. 甲은 비트코인은 작업 증명, 다른 체인은 지분 증명을 쓰는 흐름을 정리하다가 Fabric 항목에서 손을 멈췄다. 이 체인은 오더링 서비스로 순서를 정한다는 점을 찾아 지분 증명 옆에 가위 표시를 했다.

  Hyperledger Fabric은 지분 증명이 아닌 오더링 서비스로 트랜잭션을 정렬하며 합의를 구성한다.

• 28

  「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제23조의3(본인확인기관의 지정 등)에 의거하여 다음의 사항을 심사하여 대체수단의 개발ㆍ제공ㆍ관리 업무(이하 “본인확인업무”라 한다)를 안전하고 신뢰성 있게 수행할 능력이 있다고 인정되는 자를 본인확인기관으로 지정할 수 있는 기관은?

  1. 본인확인업무의 안전성 확보를 위한 물리적ㆍ기술적ㆍ관리적 조치계획

  2. 본인확인업무의 수행을 위한 기술적ㆍ재정적 능력

  3. 본인확인업무 관련 설비규모의 적정성

  1. 1. 과학기술정보통신부
  2. 2. 개인정보보호위원회
  3. 3. 방송통신위원회
  4. 4. 금융위원회

  정답 3번

  🔍 보기별 해설

  1. 과학기술정보통신부는 정보통신 정책과 정보보호 관련 다른 업무를 맡지만 본인확인기관을 지정하는 기관으로 조문에 명시되어 있지 않다. 지정 주체가 아니므로 옳지 않다.
  2. 개인정보보호위원회는 개인정보 보호 정책과 침해 조사 등을 맡지만 정통망법 제23조의3의 본인확인기관 지정권자는 아니다. 지정 주체가 아니므로 옳지 않다.
  3. 정통망법 제23조의3은 방송통신위원회가 본인확인업무의 안전성 확보 조치계획, 기술적·재정적 능력, 설비규모 등을 심사해 본인확인기관을 지정하도록 정한다. 서술과 일치하므로 옳다(정답).
  4. 금융위원회는 금융 분야 감독을 맡는 기관이다. 본인확인기관의 지정은 금융위원회가 아니라 방송통신위원회 소관이므로 옳지 않다.

  🧮 풀이

  1. 甲은 휴대전화 본인 확인 창의 아래쪽에서 이 서비스를 제공하는 기관이 지정 사업자라는 안내를 읽었다. 지정하는 기관을 조문에서 찾아 방송통신위원회라고 공책에 옮겨 적었다.
  2. 甲은 과학기술정보통신부의 소관 업무 목록을 훑어보다가 정보보호 정책이 함께 있는 것을 보았다. 본인확인기관 지정은 이 부처의 일이 아니라는 점을 확인하고 다른 부처와 나란히 표로 비교했다.
  3. 甲은 본인확인기관 지정 심사 항목이 안전성 확보 조치, 기술적·재정적 능력, 설비규모 세 가지라는 조문을 찾았다. 세 항목을 카드에 하나씩 적고 심사 기관 이름을 카드 위에 붙여 두었다.
  4. 甲은 금융 분야 본인확인이 금융위원회 소관일 것 같다는 생각이 들어 조문을 다시 찾아보았다. 지정권자가 방송통신위원회라는 문구를 확인하고 금융위원회 칸에는 가위 표시를 했다.

  정통망법 제23조의3의 본인확인기관은 방송통신위원회가 지정한다.

• 29

  (가)와 (나)에 들어갈 용어를 바르게 연결한 것은?

  악성 코드의 정적 분석은 파일을 (가) 하여 상세한 동작을 분석하는 단계로 악성 코드 파일을 역공학 분석하여 그 구조, 핵심이 되는 명령 부분, 동작 방식 등을 알아내는 것을 목표로 한다. 이를 위하여 역공학 분석을 위한 (나) 와/과 같은 도구를 활용한다. (가) (나)

  1. 1. 패킹 OllyDbg
  2. 2. 패킹 Regshot
  3. 3. 디스어셈블링 Regshot
  4. 4. 디스어셈블링 OllyDbg

  정답 4번

  🔍 보기별 해설

  1. (가)를 패킹으로 하면 실행 파일을 압축·난독화하는 행위가 되어 분석을 방해하는 쪽이다. 정적 분석은 역공학으로 구조를 파악하는 단계이므로 조합이 옳지 않다.
  2. (가) 패킹은 틀렸고 (나) Regshot도 틀렸다. Regshot은 실행 전후 레지스트리 스냅숏을 비교하는 동적 분석 도구이므로 조합이 옳지 않다.
  3. (가) 디스어셈블링은 맞지만 (나) Regshot은 정적 분석의 역공학 도구가 아니라 실행 전후 레지스트리 변화를 비교하는 동적 분석 도구이다. 조합이 옳지 않다.
  4. (가)는 기계어를 어셈블리 코드로 바꿔 읽는 디스어셈블링이고 (나)는 디버거·디스어셈블러로 쓰이는 OllyDbg이다. 역공학 분석에 맞는 조합이므로 옳다(정답).

  🧮 풀이

  1. 甲은 악성 코드 실행 파일을 실행하지 않고 코드만 열어 명령어를 읽어 보는 과정을 살펴보았다. 기계어를 어셈블리로 바꾸는 이 과정을 디스어셈블링이라고 정리해 두었다.
  2. 甲은 악성 코드가 자기 자신을 압축해 분석을 방해한다는 글을 읽었다. 이런 행위는 패킹이고 정적 분석은 이를 풀어 구조를 본다는 점을 짚어 두 단계를 화살표로 이어 그렸다.
  3. 甲은 악성 코드 실행 전후의 레지스트리를 비교하는 화면을 열어 보았다. 이 도구가 Regshot이고 동적 분석용이라는 점을 정적 분석 도구 목록에서 지우고 옆에 다시 적어 넣었다.
  4. 甲은 OllyDbg 화면에서 어셈블리 명령어가 줄지어 보이는 것을 확인했다. 정적 분석의 역공학 도구로 쓰이는 프로그램이라는 설명을 읽고 도구 이름을 분석 단계 옆에 표시했다.

  정적 분석은 파일을 디스어셈블링해 구조를 분석하며 OllyDbg 같은 도구를 쓴다. Regshot은 동적 분석 때 레지스트리 변화를 비교하는 도구다.

• 30

  프로그램 입력 값에 대한 검증 누락, 부적절한 검증 또는 데이터의 잘못된 형식 지정으로 인해 발생할 수 있는 보안 공격이 아닌 것은?

  1. 1. HTTP GET 플러딩
  2. 2. SQL 삽입
  3. 3. 크로스사이트 스크립트
  4. 4. 버퍼 오버플로우

  정답 1번

  🔍 보기별 해설

  1. HTTP GET 플러딩은 정상 요청처럼 보이는 GET을 대량으로 보내 서버 자원을 소진시키는 서비스거부 공격이다. 입력값을 검증하지 않아서 생기는 취약점이 아니므로 해당하지 않는다(정답).
  2. SQL 삽입은 사용자 입력에 SQL 구문을 섞어 넣어 데이터베이스 질의를 조작하는 공격이다. 입력값 검증이 부족해 발생하므로 입력값 검증 문제에서 비롯된 공격에 해당한다.
  3. 크로스사이트 스크립트는 입력에 스크립트를 넣어 다른 사용자의 브라우저에서 실행되게 하는 공격이다. 입력과 출력의 검증이 부족해 발생하므로 입력값 검증 문제에서 비롯된 공격에 해당한다.
  4. 버퍼 오버플로우는 입력 길이를 검사하지 않아 정해진 메모리 영역을 넘겨 덮어쓰는 공격이다. 입력값 검증이 없어서 발생하므로 입력값 검증 문제에서 비롯된 공격에 해당한다.

  🧮 풀이

  1. 甲은 쇼핑몰의 로그인 창에 작은따옴표를 넣었더니 오류가 뜨는 화면을 보았다. 입력값이 검증되지 않아 SQL이 그대로 실행되는 구조라는 점을 짚어 입력 검증 취약점 칸에 적어 넣었다.
  2. 甲은 댓글 창에 스크립트 태그가 그대로 실행되는 시험 환경 실습 화면을 열었다. 입력과 출력의 검증이 없어 생기는 크로스사이트 스크립트라고 이름을 붙이고 화면 아래에 메모해 두었다.
  3. 甲은 입력 칸에 매우 긴 문자열을 넣자 프로그램이 멈추는 예제를 실행해 보았다. 길이 검사가 없어 옆 메모리를 덮어쓰는 버퍼 오버플로우라는 사실을 살펴보고 원인을 한 줄로 적었다.
  4. 甲은 접속 통계에서 같은 페이지 요청이 초당 수만 건으로 치솟은 그래프를 보았다. 입력값의 문제가 아니라 자원을 고갈시키는 서비스거부 공격이라 판단하고 GET 플러딩이라 표시했다.

  HTTP GET 플러딩은 요청을 대량으로 보내 서버를 마비시키는 서비스거부 공격이다. 입력값 검증 미흡에서 비롯된 공격이 아니다.

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 31

  정보의 무결성에 중점을 둔 보안 모델은?

  1. 1. Biba
  2. 2. Bell-LaPadula
  3. 3. Chinese Wall
  4. 4. Lattice

  정답 1번

  🔍 보기별 해설

  1. Biba 모델은 낮은 등급 주체가 높은 등급 정보를 변경하지 못하게 해 데이터의 무결성을 지키는 모델이다. 발문의 무결성 중심 모델과 일치하므로 옳다(정답).
  2. Bell-LaPadula 모델은 높은 등급 정보가 낮은 등급으로 새지 않도록 하는 기밀성 중심의 모델이다. 무결성이 아니라 기밀성을 다루므로 옳지 않다.
  3. Chinese Wall 모델은 이해 충돌이 있는 회사들의 정보에 한 사람이 함께 접근하지 못하게 막는 모델이다. 무결성이 아니라 이해 충돌 방지가 초점이므로 옳지 않다.
  4. Lattice 모델은 보안 등급의 격자 구조를 바탕으로 정보 흐름의 방향을 정하는 모델이다. 무결성에 특화된 모델이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 회계 장부를 낮은 권한자가 함부로 고치지 못하게 하는 방법을 찾아보았다. 무결성을 지키는 Biba 모델을 찾아 낮은 등급이 위 등급 자료를 바꾸지 못하는 그림을 그려 두었다.
  2. 甲은 군 기밀 문서가 낮은 등급 병사에게 새지 않게 하는 규칙을 살펴보았다. 이 규칙이 기밀성을 다루는 Bell-LaPadula라는 점을 확인하고 Biba와 나란히 놓고 대비했다.
  3. 甲은 컨설팅 회사에서 경쟁하는 두 고객사의 자료를 한 직원이 함께 볼 수 없도록 막는 방식을 읽었다. 이해 충돌을 막는 Chinese Wall 모델이라는 이름을 옆에 써 넣었다.
  4. 甲은 보안 등급이 위아래로 이어진 격자 그림을 그리고 정보가 흐르는 방향을 화살표로 표시했다. 이 구조가 Lattice 모델이라는 점을 옆에 메모하고 무결성 모델과 구분했다.

  정보의 무결성에 중점을 둔 접근통제 모델은 Biba이다. Bell-LaPadula는 기밀성 모델이다.

• 32

  허니팟에 대한 설명으로 옳지 않은 것은?

  1. 1. 공격자가 중요한 시스템에 접근하지 못하도록 실제 시스템처럼 보이는 곳으로 유인한다.
  2. 2. 공격자의 행동 패턴에 관한 정보를 수집한다.
  3. 3. 허니팟은 방화벽의 내부망에는 설치할 수 없다.
  4. 4. 공격자가 가능한 한 오랫동안 허니팟에서 시간을 보내도록 하고 그사이 관리자는 필요한 대응을 준비한다.

  정답 3번

  🔍 보기별 해설

  1. 허니팟은 실제 시스템처럼 보이게 꾸며 공격자를 유인함으로써 진짜 중요한 시스템으로 가지 못하게 하는 미끼이다. 서술이 정확하므로 적절하다.
  2. 허니팟에서는 공격자의 접근 경로와 사용 도구, 행동 패턴을 기록해 분석에 쓸 정보를 수집한다. 서술이 정확하므로 적절하다.
  3. 허니팟은 방화벽 외부나 DMZ뿐 아니라 내부망에도 설치할 수 있으며 내부 침입자나 감염 기기를 잡아내는 데도 쓰인다. 내부망에는 설치할 수 없다는 서술은 틀리므로 옳지 않다(정답).
  4. 허니팟은 공격자가 오래 머물수록 더 많은 정보를 얻고 그사이 관리자는 대응을 준비할 수 있다. 서술이 정확하므로 적절하다.

  🧮 풀이

  1. 甲은 서버 한 대를 일부러 취약하게 꾸며 외부 망에 놓아 두는 방법을 찾아보았다. 진짜 서버로 가는 공격을 이쪽으로 유인하는 미끼라는 설명을 읽고 허니팟이라 이름을 붙였다.
  2. 甲은 허니팟 로그에 공격자의 접속 시각과 실행 명령이 그대로 남은 화면을 살펴보았다. 행동 패턴 정보를 수집하는 용도라는 점을 짚고 항목별로 표를 만들어 옮겨 적었다.
  3. 甲은 회사 방화벽의 내부망과 외부망, DMZ를 그린 그림에 허니팟을 놓을 수 있는 자리를 표시해 보았다. 내부망에도 둘 수 있다는 사실을 살펴보고 세 곳 모두에 동그라미를 그렸다.
  4. 甲은 공격자가 미끼 서버에서 오래 머무르는 사이 대응 계획을 세우는 관리자의 모습을 그림으로 그려 보았다. 머무는 시간이 길수록 얻는 정보가 늘어난다는 설명에 밑줄을 그었다.

  허니팟은 방화벽 내부망에도 설치할 수 있다. 설치할 수 없다는 서술이 틀렸다.

• 33

  다음에 설명하는 위험 분석 방법은?

  ○ 구조적인 방법론에 기반하지 않고 분석가의 경험이나 지식을 사용하여 위험 분석을 수행한다.

  ○ 중소 규모의 조직에는 적합할 수 있으나 분석가의 개인적 경험에 지나치게 의존한다는 단점이 있다.

  1. 1. 기준선 접근법
  2. 2. 비정형 접근법
  3. 3. 상세 위험 분석
  4. 4. 복합 접근법

  정답 2번

  🔍 보기별 해설

  1. 기준선 접근법은 보안 표준이나 체크리스트를 기준으로 현재 상태를 견주어 위험을 판단하는 방법이다. 분석가의 경험에만 의존하는 방식이 아니므로 옳지 않다.
  2. 비정형 접근법은 구조적 방법론 없이 분석가의 경험과 지식으로 위험을 분석하는 방법이다. 중소 규모 조직에 적합할 수 있으나 개인 경험에 의존하는 단점이 있어 발문과 일치하므로 옳다(정답).
  3. 상세 위험 분석은 자산, 위협, 취약점을 체계적으로 식별하고 평가하는 방법이다. 구조적 방법론에 기반하므로 발문과 다르고 옳지 않다.
  4. 복합 접근법은 먼저 고위험 영역을 가려내고 그 영역에 상세 위험 분석을 적용하는 등 여러 방법을 조합한다. 경험에만 의존하는 방법이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 작은 회사의 보안 담당자가 체크리스트 없이 경험만으로 위험을 짚어 나가는 방식을 보았다. 구조적 방법 없이 경험에 기대는 비정형 접근법이라는 이름을 붙여 공책에 적었다.
  2. 甲은 보안 표준 체크리스트에 회사 현황을 하나씩 대조하는 표를 채워 보았다. 기준에 맞춰 비교하는 방식이라 기준선 접근법이라고 분류하고 비정형과 다른 칸에 옮겨 적었다.
  3. 甲은 자산 목록과 위협, 취약점을 표로 만들어 위험도를 계산해 보았다. 이렇게 체계적으로 식별하고 평가하는 방식이 상세 위험 분석이라고 정리하고 비정형 접근법과 나란히 견주었다.
  4. 甲은 고위험 영역만 골라 상세하게 분석하는 절차를 흐름도로 그려 보았다. 먼저 넓게 훑어보고 나중에 깊게 파고드는 방식이 복합 접근법이라는 이름을 화살표 끝에 써 넣었다.

  구조적 방법론 없이 분석가의 경험과 지식에 의존하는 위험 분석은 비정형 접근법이다.

• 34

  RSA를 적용하여 7의 암호문 11과 35의 암호문 42가 주어져 있을 때, 알고리즘의 수학적 특성을 이용하여 계산한 245(＝7 * 35)의 암호문은? (단, RSA 공개 모듈 n ＝ 247, 공개 지수 e ＝ 5)

  1. 1. 2
  2. 2. 215
  3. 3. 239
  4. 4. 462

  정답 2번

  🔍 보기별 해설

  1. 2는 두 암호문 11과 42를 곱한 뒤 n으로 나눈 나머지가 아니다. RSA의 곱셈 동형 성질로 계산하면 11×42=462를 247로 나눈 나머지 215가 나오므로 옳지 않다.
  2. RSA는 E(a)×E(b) mod n = E(a×b) 성질이 있으므로 11×42=462이고 462 mod 247=215이다. 따라서 245의 암호문은 215이므로 옳다(정답).
  3. 239는 두 암호문의 곱을 n으로 나눈 나머지와 일치하지 않는다. 462에서 247을 한 번 빼면 215가 되므로 옳지 않다.
  4. 462는 두 암호문을 곱하기만 하고 모듈러 n 연산을 하지 않은 값이다. RSA 암호문은 0 이상 n 미만이므로 247로 나눈 나머지를 구해야 하므로 옳지 않다.

  🧮 풀이

  1. 甲은 7의 암호문이 11, 35의 암호문이 42라는 값을 종이 위쪽에 적었다. 두 암호문을 곱한 462를 247로 나누어 나머지 215를 얻고 이것이 245의 암호문이라고 적어 넣었다.
  2. 甲은 나머지가 2가 되는 계산이 있는지 궁금해 11과 42로 여러 조합을 계산해 보았다. 곱해서 247로 나누면 215만 나온다는 점을 확인하고 다른 값들에는 가위 표시를 했다.
  3. 甲은 462에서 247을 빼는 계산을 종이에 직접 해 보았다. 한 번 빼면 215가 남고 239와는 맞지 않는다는 점을 확인해 그 옆에 빼기 과정을 함께 별표로 남겨 두었다.
  4. 甲은 462를 그대로 답으로 적으려다 손을 멈췄다. 암호문은 n보다 작은 값이라야 한다는 조건을 떠올리고 모듈러 연산을 거치는 과정을 계산식으로 보충해 적어 놓았다.

  RSA는 곱셈에 대해 동형이므로 E(7)·E(35) mod 247 = E(245)이다. 11×42=462, 462 mod 247=215이다.

• 35

  사용자 A가 사전에 비밀키를 공유하고 있지 않은 사용자 B에게 기밀성 보장이 요구되는 문서 M을 보내기 위한 메시지로 옳은 것은?

  KpuX: 사용자 X의 공개키 KprX: 사용자 X의 개인키 KS: 세션키 H(): 해시 함수 E(): 암호화 ||: 연결(concatenation) 연산자

  1. 1. M || EKprA(H(M))
  2. 2. EKprA(M || H(M))
  3. 3. EKS(M) || EKpuB(KS)
  4. 4. EKS(M) || EKprA(KS)

  정답 3번

  🔍 보기별 해설

  1. M||EKprA(H(M))은 A가 개인키로 해시에 서명한 형태이다. 인증과 무결성은 주지만 M이 평문으로 전달되어 기밀성이 없으므로 옳지 않다.
  2. EKprA(M||H(M))은 A의 개인키로 암호화한 것이라 A의 공개키를 아는 누구나 복호화할 수 있다. 기밀성이 아니라 서명 성격이므로 옳지 않다.
  3. EKS(M)||EKpuB(KS)는 문서를 세션키로 암호화하고 세션키는 B의 공개키로 감싸 B만 풀 수 있게 한 형태이다. 사전 공유 없이 기밀성을 얻는 방식이므로 옳다(정답).
  4. EKS(M)||EKprA(KS)는 세션키를 A의 개인키로 암호화한 것이라 A의 공개키를 가진 누구나 세션키를 얻을 수 있다. 기밀성이 깨지므로 옳지 않다.

  🧮 풀이

  1. 甲은 사전에 비밀번호를 정해 두지 않은 거래처에 계약서를 안전하게 보내야 하는 상황을 그려 보았다. 계약서는 세션키로 암호화하고 세션키는 상대의 공개키로 감싸 함께 보낸다고 적었다.
  2. 甲은 전자서명이 본문을 숨기지 못한다는 설명을 읽었다. 해시에 서명해 본문 옆에 붙이면 본문이 그대로 보인다는 점을 그림에 표시하고 기밀성 방식과 구분해 옆에 놓았다.
  3. 甲은 개인키로 암호화한 메시지를 누가 풀 수 있는지 그림으로 그려 보았다. 공개키를 가진 누구나 풀 수 있다는 사실을 살펴보고 기밀성 보장이 안 된다고 옆에 써 넣었다.
  4. 甲은 세션키를 송신자의 개인키로 감싸 보내는 경우를 종이에 그렸다. 공개키가 공개되어 있으니 누구나 세션키를 꺼낼 수 있다는 점을 짚고 붉은 화살표로 위험 구간을 표시했다.

  사전에 비밀키가 없는 B에게 기밀성을 보장하려면 세션키로 문서를 암호화하고 그 세션키를 B의 공개키로 암호화해 보낸다.

• 36

  보안 서비스와 이를 제공하기 위한 보안 기술을 잘못 연결한 것은?

  1. 1. 데이터 무결성 － 암호학적 해시
  2. 2. 신원 인증 － 인증서
  3. 3. 부인방지 － 메시지 인증 코드
  4. 4. 메시지 인증 － 전자 서명

  정답 3번

  🔍 보기별 해설

  1. 암호학적 해시는 데이터가 바뀌면 값이 달라져 위변조를 탐지하므로 데이터 무결성을 제공한다. 연결이 옳으므로 적절하다.
  2. 인증서는 공개키와 소유자를 묶어 인증기관이 보증하므로 상대의 신원을 확인하는 데 쓰인다. 연결이 옳으므로 적절하다.
  3. MAC은 송수신자가 같은 비밀키를 공유하므로 둘 중 누구도 만들 수 있어 제3자에게 송신 사실을 증명하지 못한다. 부인방지는 개인키로 만드는 전자서명으로 제공하므로 잘못 연결되어 옳지 않다(정답).
  4. 전자서명은 서명자만 가진 개인키로 만들어 메시지가 그 사람에게서 왔음을 확인하므로 메시지 인증을 제공한다. 연결이 옳으므로 적절하다.

  🧮 풀이

  1. 甲은 파일을 내려받은 뒤 해시값을 직접 계산해서 배포처에 게시된 값과 견주어 보았다. 값이 같아 파일이 바뀌지 않았다는 점을 확인하고 해시가 무결성용이라고 옆에 따로 써 넣었다.
  2. 甲은 사이트 주소창 옆 자물쇠를 눌러 발급 기관과 사이트 이름이 적힌 인증서 화면을 열었다. 사이트의 신원을 인증서가 보증한다는 사실을 살펴보고 공개키와 이름을 옮겨 적었다.
  3. 甲은 계약서를 MAC으로 보낸 경우 나중에 보낸 쪽이 부인하면 어떻게 되는지 따져 보았다. 두 사람이 같은 키를 갖고 있어 제3자가 누구 것인지 가릴 수 없다는 점을 그림에 표시했다.
  4. 甲은 전자문서에 서명한 사람의 개인키로 만든 서명 값을 공개키로 검증해 보았다. 서명자가 보낸 것이라는 사실이 그대로 확인된다는 점을 표의 메시지 인증 칸에 옮겨 적어 넣었다.

  부인방지는 전자서명으로 제공한다. 메시지 인증 코드(MAC)는 공유 비밀키를 쓰므로 제3자에게 송신 사실을 증명하지 못한다.

• 37

  웹 서버와 클라이언트 간의 쿠키 처리 과정으로 옳지 않은 것은?

  1. 1. HTTP 요청 메시지의 헤더 라인을 통한 쿠키 전달
  2. 2. HTTP 응답 메시지의 상태 라인을 통한 쿠키 전달
  3. 3. 클라이언트 브라우저의 쿠키 디렉터리에 쿠키 저장
  4. 4. 웹 서버가 클라이언트에 관해 수집한 정보로부터 쿠키를 생성

  정답 2번

  🔍 보기별 해설

  1. 쿠키를 받은 클라이언트는 이후 요청에서 저장한 값을 Cookie 헤더 항목에 담아 서버에 돌려준다. 요청 메시지의 헤더 라인에 실리는 것이 맞으므로 쿠키 처리 과정으로 적절하다.
  2. 쿠키는 응답 메시지의 상태 라인이 아니라 헤더 라인의 Set-Cookie에 담아 전달한다. 상태 라인에는 HTTP 버전과 상태 코드가 들어가므로 옳지 않다(정답).
  3. 브라우저는 서버가 보낸 쿠키를 자신의 쿠키 디렉터리나 저장소에 보관했다가 이후 요청에 사용한다. 서술이 정확하므로 쿠키 처리 과정으로 적절하다.
  4. 웹 서버는 클라이언트에 관해 수집한 정보로 쿠키 값을 만들어 응답에 실어 보낸다. 서술이 정확하므로 쿠키 처리 과정으로 적절하다.

  🧮 풀이

  1. 甲은 개발자 도구로 로그인 이후의 요청 헤더를 열어 Cookie 항목이 붙은 것을 보았다. 저장된 값이 요청 헤더로 서버에 되돌아간다는 흐름을 화살표로 그려 두었다.
  2. 甲은 HTTP 응답의 첫 줄에는 상태 코드가 있고 Set-Cookie는 그 아래 헤더에 있다는 점을 발견했다. 쿠키가 첫 줄이 아니라 헤더 라인이라는 점을 응답 그림에 표시했다.
  3. 甲은 브라우저 설정에서 저장된 쿠키 목록을 열어 사이트별로 값이 쌓여 있는 것을 확인했다. 서버가 보낸 쿠키를 브라우저가 보관한다는 흐름을 한 줄로 정리해 붙여 두었다.
  4. 甲은 쇼핑몰이 방문자를 구분하려고 쿠키에 식별 번호를 넣어 응답하는 과정을 그려 보았다. 서버가 수집한 정보로 쿠키를 만든다는 단계에 번호를 붙여 그림 옆에 적었다.

  서버는 응답 메시지의 헤더 라인(Set-Cookie)으로 쿠키를 전달한다. 상태 라인으로 전달한다는 서술이 틀렸다.

• 38

  「개인정보 보호법」 제15조(개인정보의 수집ㆍ이용)에서 개인정보처리자가 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있는 경우에 해당하지 않는 것은?

  1. 1. 정보주체의 동의를 받은 경우
  2. 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
  3. 3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우
  4. 4. 공공기관과의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우

  정답 4번

  🔍 보기별 해설

  1. 정보주체의 동의를 받은 경우는 제15조 제1항 제1호로 개인정보를 수집·이용할 수 있는 사유이다. 조문에 실제로 들어 있으므로 해당한다.
  2. 법률에 특별한 규정이 있거나 법령상 의무를 지키기 위해 불가피한 경우도 제15조가 정한 수집·이용 사유이다. 조문에 실제로 들어 있으므로 해당한다.
  3. 공공기관이 법령 등에서 정한 소관 업무를 수행하기 위해 불가피한 경우도 수집·이용 사유로 정해져 있다. 조문에 실제로 들어 있으므로 해당한다.
  4. 조문은 정보주체와 체결한 계약의 이행에 필요한 경우를 사유로 정하고 있다. 공공기관과의 계약이라고 한 서술은 조문과 달라 사유에 해당하지 않는다(정답).

  🧮 풀이

  1. 甲은 회원 가입 화면에서 이용약관 동의를 눌러야 다음 단계로 넘어가는 것을 보았다. 정보주체의 동의가 수집·이용 사유라는 점을 조문에서 찾아 동의 항목 옆에 적어 두었다.
  2. 甲은 세금 신고 자료를 국세청에 제출해야 하는 회사의 개인정보 처리를 살펴보았다. 법령상 의무를 지키기 위한 수집이라 조문에 해당한다고 보고 근거 조항을 옆에 써 넣었다.
  3. 甲은 주민센터가 복지 업무를 위해 신청자의 정보를 받는 장면을 떠올렸다. 소관 업무 수행을 위한 수집 사유라는 점을 조문에서 다시 확인하고 공공기관 칸에 굵게 표시해 두었다.
  4. 甲은 택배 회사가 배송을 위해 고객 주소를 받는 상황을 조문에 대어 보았다. 정보주체와 맺은 계약의 이행이 사유라는 점을 확인하고 공공기관과의 계약이라는 보기에는 가위 표시를 했다.

  개인정보 보호법 제15조는 정보주체와 체결한 계약의 이행에 필요한 경우를 든다. 공공기관과의 계약이라는 서술은 조문과 다르다.

• 39

  함수 P에서 호출한 함수 Q가 자신의 작업을 마치고 다시 함수 P로 돌아가는 과정에서의 스택 버퍼 운용 과정을 순서대로 바르게 나열한 것은?

  (가) 스택에 저장되어 있는 복귀 주소(return address)를 pop한다. (나) 스택 포인터를 프레임 포인터의 값으로 복원시킨다. (다) 이전 프레임 포인터 값을 pop하여 스택 프레임 포인터를 P의 스택 프레임으로 설정한다. (라) P가 실행했던 함수 호출(function call) 인스트럭션 다음의 인스트럭션을 실행한다.

  1. 1. (가) → (나) → (다) → (라)
  2. 2. (가) → (다) → (라) → (나)
  3. 3. (나) → (가) → (라) → (다)
  4. 4. (나) → (다) → (가) → (라)

  정답 4번

  🔍 보기별 해설

  1. (가)부터 시작하면 스택 포인터가 지역 변수 영역을 지나 프레임 포인터 위치로 돌아오기 전에 복귀 주소를 꺼내게 된다. 첫 단계가 어긋나므로 순서가 옳지 않다.
  2. (가)-(다)-(라)-(나)는 복귀 주소를 먼저 꺼내고 프레임 포인터를 그다음에 복원한다. 프레임 포인터 정리 없이 다음 명령을 실행하려 하므로 순서가 옳지 않다.
  3. (나)-(가)-(라)-(다)는 스택 포인터를 복원한 뒤 이전 프레임 포인터를 꺼내지 않고 곧바로 복귀 주소를 꺼낸다. 이전 프레임 포인터가 스택 맨 위에 있으므로 순서가 옳지 않다.
  4. 먼저 (나) 스택 포인터를 프레임 포인터로 복원하고 (다) 이전 프레임 포인터를 pop해 P의 프레임으로 되돌린 다음 (가) 복귀 주소를 pop해 (라) 호출 다음 명령을 실행한다. 순서가 옳다(정답).

  🧮 풀이

  1. 甲은 함수 Q가 끝날 때 스택에 쌓여 있던 값이 어떤 순서로 빠지는지 그림으로 그렸다. 지역 변수를 버리고 이전 프레임 포인터를 꺼낸 다음 복귀 주소를 꺼낸다고 번호를 붙였다.
  2. 甲은 복귀 주소를 먼저 꺼내면 어떤 일이 생기는지 따져 보았다. 프레임 포인터를 정리하지 못한 채 P로 돌아가면 스택이 어긋난다는 점을 그림 속 해당 자리에 붉은 표시로 남겼다.
  3. 甲은 이전 프레임 포인터가 복귀 주소 바로 아래 스택 맨 위에 놓인다는 점을 그려 확인했다. 그래서 복귀 주소를 꺼내기 전에 이 값이 먼저 나와야 한다는 점을 화살표로 표시했다.
  4. 甲은 스택 프레임 네 단계를 아래에서 위로 쌓은 그림을 그리고 복귀 단계를 번호로 매겼다. 스택 포인터 복원, 프레임 포인터 pop, 복귀 주소 pop, 다음 명령 실행 순으로 적어 넣었다.

  함수 복귀 때는 스택 포인터를 프레임 포인터로 복원하고, 이전 프레임 포인터를 pop한 뒤, 복귀 주소를 pop해 다음 명령을 실행한다. 순서는 (나)-(다)-(가)-(라)이다.

• 40

  무선 네트워크 보안에 대한 설명으로 옳은 것은?

  1. 1. 이전에 사용했던 WEP의 보안상 약점을 보강하기 위해서 IETF에서 WPA, WPA2, WPA3를 정의하였다.
  2. 2. WPA는 TKIP 프로토콜을 채택하여 보안을 강화하였으나 여전히 WEP와 동일한 메시지 무결성 확인 방식을 사용하는 약점이 있다.
  3. 3. WPA2는 무선 LAN 보안 표준인 IEEE 802.1X의 보안 요건을 충족하기 위하여 CCM 모드의 AES 블록 암호 방식을 채택하고 있다.
  4. 4. WPA-개인 모드에서는 PSK로부터 유도된 암호화 키를 사용하는 반면에, WPA-엔터프라이즈 모드에서는 인증 및 암호화를 강화하기 위해 RADIUS 인증 서버를 두고 EAP 표준을 이용한다.

  정답 4번

  🔍 보기별 해설

  1. WPA·WPA2·WPA3는 IETF가 아니라 Wi-Fi Alliance가 정의한 무선 보안 인증 규격이다. 정의 주체가 틀렸으므로 옳지 않다.
  2. WPA는 TKIP으로 보안을 강화하면서 무결성 확인에도 WEP의 CRC 대신 Michael MIC를 도입했다. WEP와 동일한 방식을 쓴다는 서술은 사실과 다르므로 옳지 않다.
  3. WPA2가 채택한 CCMP는 CCM 모드의 AES를 쓰며 IEEE 802.11i 요건을 충족하기 위한 것이다. 802.1X는 별도의 포트 기반 인증 표준이므로 요건 서술이 틀려 옳지 않다.
  4. WPA-개인 모드는 사전 공유키(PSK)에서 암호화 키를 유도하고 WPA-엔터프라이즈 모드는 RADIUS 인증 서버와 EAP 표준을 이용한다. 서술이 정확하므로 옳다(정답).

  🧮 풀이

  1. 甲은 집 공유기 설정에서 WPA2 개인용을 고르고 비밀번호를 정하는 화면을 열었다. 이 비밀번호에서 암호화 키가 만들어진다는 설명을 읽고 PSK라는 이름을 옆에 써 넣었다.
  2. 甲은 회사 와이파이에 접속할 때 개인 계정으로 로그인하는 화면을 보았다. 인증 서버가 사용자를 확인하는 엔터프라이즈 방식이라는 점을 RADIUS와 EAP 이름과 함께 정리했다.
  3. 甲은 무선 보안 규격의 역사를 WEP, WPA, WPA2, WPA3 순서로 연표에 그렸다. 각 규격을 만든 단체가 Wi-Fi Alliance라는 사실을 살펴보고 IETF 항목에는 가위 표시를 했다.
  4. 甲은 WPA2가 쓰는 암호 방식을 규격서에서 찾아보았다. CCM 모드의 AES라는 점과 802.11i 요건이라는 설명을 확인하고 802.1X와 헷갈리지 않게 표에 따로 적어 붙여 두었다.

  WPA-개인은 PSK에서 유도한 키를 쓰고 WPA-엔터프라이즈는 RADIUS 서버와 EAP(802.1X)로 인증한다.

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 41

  사용자 A가 사용자 B에게 보낼 메시지에 대한 전자서명을 생성하는 데 필요한 키는?

  1. 1. 사용자 A의 개인키
  2. 2. 사용자 A의 공개키
  3. 3. 사용자 B의 개인키
  4. 4. 사용자 B의 공개키

  정답 1번

  🔍 보기별 해설

  1. 서명은 본인만 만들 수 있어야 하므로 서명자인 A가 자신만 가진 개인키로 메시지의 해시를 암호화한다. 누구나 A의 공개키로 검증할 수 있으므로 옳다(정답).
  2. A의 공개키는 누구에게나 공개된 값이라 이것으로 서명을 만들면 아무나 위조할 수 있다. 공개키는 서명을 만드는 데가 아니라 검증하는 데 쓰이므로 옳지 않다.
  3. B의 개인키는 B만 가진 비밀 값으로 A는 알 수 없고 알아서도 안 된다. B의 개인키는 B가 받은 암호문을 복호화할 때 쓰는 열쇠이므로 옳지 않다.
  4. B의 공개키는 A가 B에게 보낼 내용을 기밀로 암호화할 때 쓰는 열쇠이다. 이것으로는 서명이 만들어지지 않고 누구나 쓸 수 있으므로 옳지 않다.

  🧮 풀이

  1. 甲은 계약서 파일 끝에 붙은 서명을 누가 만들었는지 따져 보았다. 서명자만 가진 개인키로 만들어야 부인할 수 없다는 점을 확인하고 그 키 이름을 서명 흐름도의 첫 칸에 적어 두었다.
  2. 甲은 인증서에 실려 공개된 상대의 공개키로 서명 값을 만들면 어떻게 되는지 생각해 보았다. 누구나 가진 키로 서명한 것이니 위조가 자유로워진다고 정리하여 그 칸에 가위표를 쳤다.
  3. 甲은 스터디 시간에 B의 개인키가 왜 A의 서명 과정에 나오지 않는지 표로 견주었다. 복호화에만 쓰이는 B 전용 비밀 값이라 A가 다룰 수 없다는 설명을 세로 칸 옆에 옮겨 적었다.
  4. 甲은 퇴근 뒤 도서관에서 A가 B에게 비밀 메시지를 보낼 때 쓰는 열쇠와 서명할 때 쓰는 열쇠를 두 줄로 그려 보았다. B의 공개키는 암호화 쪽 줄에만 놓이는 것을 확인하고 서명 줄에서 지웠다.

  전자서명은 서명자 본인의 개인키로 만들고 서명자의 공개키로 검증한다.

• 42

  원본 파일에 숨기고자 하는 정보를 삽입하고 숨겨진 정보의 존재 여부를 알기 어렵게 하는 기술은?

  1. 1. 퍼징(Fuzzing)
  2. 2. 스캐닝(Scanning)
  3. 3. 크립토그래피(Cryptography)
  4. 4. 스테가노그래피(Steganography)

  정답 4번

  🔍 보기별 해설

  1. 퍼징은 프로그램에 비정상 입력을 무작위로 대량 넣어 취약점과 오류를 찾아내는 시험 기법이다. 정보를 숨기는 기술이 아니므로 옳지 않다.
  2. 스캐닝은 대상 시스템의 열린 포트와 동작 중인 서비스를 조사하는 정찰 기법이다. 숨기려는 정보를 삽입하는 것과 관계가 없으므로 옳지 않다.
  3. 크립토그래피는 평문을 알아볼 수 없는 암호문으로 바꾸는 기술이라 존재는 그대로 드러난다. 내용만 가릴 뿐 숨김 사실을 감추지 못하므로 옳지 않다.
  4. 스테가노그래피는 그림·음성 파일의 최하위 비트 등에 비밀 정보를 끼워 넣어 정보가 있다는 사실조차 알기 어렵게 한다. 설명과 일치하므로 옳다(정답).

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관에서 취약점 점검 시간에 프로그램에 깨진 입력을 무작위로 쏟아 붓는 도구를 돌려 보았다. 화면이 멈춘 자리를 기록하고 이 기법의 이름이 퍼징인 것을 공책 위쪽에 붙여 두었다.
  2. 甲은 모의고사를 채점하다가 사무실 서버의 열린 포트를 조사하는 도구의 결과 표를 읽었다. 정보를 숨기는 것이 아니라 열린 문을 찾는 조사라는 점을 스캐닝 옆에 적고 밑줄을 그었다.
  3. 甲은 파일을 암호화하면 암호문이라는 것이 한눈에 드러난다는 점을 예로 들었다. 내용은 가려지지만 무언가 숨겼다는 사실은 보이므로 스테가노그래피와 다르다고 두 칸으로 나누어 표시했다.
  4. 甲은 풍경 사진의 화소 값 끝자리에 짧은 문장을 숨긴 파일을 열어 보았다. 겉보기에는 원본과 똑같아서 정보가 있는지 알 수 없다는 점을 새겨 두고 두 사진을 나란히 놓아 견주었다.

  원본에 정보를 몰래 끼워 넣어 존재 자체를 감추는 기술은 스테가노그래피이다.

• 43

  다음에서 설명하는 공격 방법은?

  ○ 사람의 심리를 이용하여 보안 기술을 무력화시키고 정보를 얻는 공격 방법

  ○ 신뢰할 수 있는 사람으로 위장하여 다른 사람의 정보에 접근하는 공격 방법

  1. 1. 재전송 공격(Replay Attack)
  2. 2. 무차별 대입 공격(Brute-Force Attack)
  3. 3. 사회공학 공격(Social Engineering Attack)
  4. 4. 중간자 공격(Man-in-the-Middle Attack)

  정답 3번

  🔍 보기별 해설

  1. 재전송 공격은 가로챈 정상 인증 메시지를 그대로 다시 보내 통신 상대를 속이는 기술적 공격이다. 사람의 심리를 이용하지 않으므로 옳지 않다.
  2. 무차별 대입 공격은 가능한 비밀번호를 하나씩 모두 넣어 보는 방식이다. 심리나 위장이 아니라 계산 횟수로 뚫으므로 옳지 않다.
  3. 사회공학 공격은 관리자나 동료로 위장해 사람의 신뢰와 심리를 이용하여 정보를 알아내는 공격이다. 자료의 두 설명 모두에 들어맞으므로 옳다(정답).
  4. 중간자 공격은 통신 중간에 끼어들어 주고받는 메시지를 가로채거나 바꾸는 공격이다. 사람을 속여 정보를 얻는 것이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 출근길 지하철에서 오래전에 가로챈 로그인 요청을 그대로 다시 전송하는 실습 영상을 보았다. 사람은 속이지 않고 메시지를 재사용하는 공격이라는 차이를 재전송 옆에 적어 두었다.
  2. 甲은 비밀번호 여섯 자리를 000000부터 차례로 넣어 보는 프로그램의 동작을 살폈다. 심리가 아닌 횟수로 승부하는 방식임을 확인하고 이 공격에 필요한 시간을 표에 옮겨 적었다.
  3. 甲은 전산 담당자를 사칭한 전화가 비밀번호를 물어 온 사례를 읽었다. 기술을 뚫은 것이 아니라 신뢰를 이용한 접근이므로 사회공학이라 붙이고 대응 수칙을 그 아래에 정리해 두었다.
  4. 甲은 모의고사를 채점하다가 카페 공용 와이파이에서 통신을 중간에 끼어 읽는 그림을 그려 보았다. 이 공격은 통신 경로에서 벌어지는 것이라 사람을 속이는 사회공학과 구분하여 다른 색으로 표시했다.

  사람의 심리와 신뢰를 이용해 정보를 얻는 공격이 사회공학이다.

• 44

  블록 암호의 운영 모드 중 ECB 모드와 CBC 모드에 대한 설명으로 옳은 것은?

  1. 1. ECB 모드는 블록의 변화가 다른 블록에 영향을 주지 않아 안전하다.
  2. 2. ECB 모드는 암호화할 때, 같은 데이터 블록에 대해 같은 암호문 블록을 생성한다.
  3. 3. CBC 모드는 블록의 변화가 이전 블록에 영향을 주므로 패턴을 추적하기 어렵다.
  4. 4. CBC 모드는 암호화할 때, 이전 블록의 결과가 필요하지 않다.

  정답 2번

  🔍 보기별 해설

  1. ECB는 블록이 서로 영향을 주지 않는 것은 맞지만 같은 평문이 같은 암호문이 되어 패턴이 그대로 드러난다. 이를 안전하다고 한 결론이 틀렸으므로 옳지 않다.
  2. ECB는 블록을 독립적으로 같은 키로 암호화하므로 같은 평문 블록은 언제나 같은 암호문 블록이 된다. 이것이 ECB의 대표적 약점이므로 옳다(정답).
  3. CBC는 이전 암호문 블록이 다음 블록의 암호화에 XOR로 들어가므로 영향은 앞에서 뒤로 흐른다. 이전 블록에 영향을 준다고 한 방향이 반대이므로 옳지 않다.
  4. CBC는 평문 블록을 이전 암호문 블록과 XOR한 뒤 암호화하므로 이전 결과가 반드시 필요하다. 첫 블록만 초기 벡터를 쓰므로 옳지 않다.

  🧮 풀이

  1. 甲은 같은 로고가 반복되는 그림 파일을 ECB로 암호화한 결과를 보았다. 같은 색 블록이 같은 암호문으로 바뀌어 윤곽이 그대로 비쳐 보이는 것을 확인하고 그림 옆에 원인을 적어 두었다.
  2. 甲은 모의고사를 채점하다가 블록마다 따로 암호화되니 안전하다는 후배의 말을 듣고 반박 자료를 찾았다. 독립성 때문에 오히려 같은 블록이 같은 값으로 나온다는 점을 ECB 설명 아래에 옮겨 적었다.
  3. 甲은 쉬는 시간에 CBC에서 세 번째 블록을 바꾸면 뒤 블록의 암호문이 달라지는 그림을 그려 보았다. 영향이 앞으로 가지 않고 뒤로만 퍼진다는 점에 화살표를 그려 넣고 방향을 표시했다.
  4. 甲은 일요일 오후 스터디 카페에서 CBC 암호화 순서를 손으로 따라가며 두 번째 블록을 만들어 보았다. 첫 암호문 블록이 있어야 두 번째를 만들 수 있다는 것을 확인하고 초기 벡터 칸에 동그라미를 쳤다.

  ECB는 같은 평문 블록이 같은 암호문 블록이 되어 패턴이 드러나고, CBC는 이전 암호문 블록을 XOR한다.

• 45

  컴퓨터 보안의 3요소가 아닌 것은?

  1. 1. 무결성(Integrity)
  2. 2. 확장성(Scalability)
  3. 3. 가용성(Availability)
  4. 4. 기밀성(Confidentiality)

  정답 2번

  🔍 보기별 해설

  1. 무결성은 정보가 허가 없이 변경되지 않고 정확함을 유지하는 성질이다. 보안 3요소에 들어가므로 3요소에 해당한다.
  2. 확장성은 사용자나 처리량이 늘어도 시스템이 감당하는 성능 특성이지 보안 목표가 아니다. 기밀성·무결성·가용성 어디에도 들어 있지 않으므로 3요소가 아니다(정답).
  3. 가용성은 허가된 사용자가 필요할 때 정보와 자원을 쓸 수 있는 성질이다. 보안 3요소의 하나이므로 3요소에 해당한다.
  4. 기밀성은 허가받지 않은 사람에게 정보가 새어 나가지 않게 하는 성질이다. 보안 3요소의 하나이므로 3요소에 해당한다.

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 보안 교재의 첫 장에서 CIA 삼각형 그림을 보았다. 무결성이 세 꼭짓점 가운데 하나라는 것을 확인하고 정확하게 보존된다는 뜻을 꼭짓점 곁에 적어 두었다.
  2. 甲은 기출 문제집을 처음부터 다시 훑어보다가 접속자가 늘어도 느려지지 않는 서비스 구조를 설명하는 발표를 들었다. 성능 확장에 관한 이야기이지 보안 목표가 아니어서 확장성을 3요소 목록에서 지웠다.
  3. 甲은 주말 저녁 집중해서 복습하던 중에 서버가 멈추어 학생들이 성적을 볼 수 없었던 사고 기록을 읽었다. 필요한 순간에 쓸 수 없었던 것이므로 가용성 문제로 분류하고 사고 표의 항목에 표시했다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 회원 명단이 외부로 유출된 사건을 다룬 기사를 읽었다. 정보가 허가 없이 새어 나간 사고이므로 기밀성 침해로 보고 해당 기사 여백에 그 이름을 써 넣었다.

  컴퓨터 보안의 3요소는 기밀성·무결성·가용성이며 확장성은 포함되지 않는다.

• 46

  로컬에서 통신하고 있는 서버와 클라이언트의 IP 주소에 대한 MAC 주소를 공격자의 MAC 주소로 속여, 클라이언트와 서버 간에 이동하는 패킷이 공격자로 전송되도록 하는 공격 기법은?

  1. 1. SYN 플러딩
  2. 2. DNS 스푸핑
  3. 3. ARP 스푸핑
  4. 4. ICMP 리다이렉트 공격

  정답 3번

  🔍 보기별 해설

  1. SYN 플러딩은 TCP 연결 요청 SYN만 대량으로 보내 서버의 연결 대기 자원을 소진시키는 서비스 거부 공격이다. MAC 주소를 속이는 것이 아니므로 옳지 않다.
  2. DNS 스푸핑은 도메인 이름에 대한 IP 응답을 조작해 엉뚱한 사이트로 유도하는 공격이다. 조작 대상이 MAC이 아니라 IP 주소이므로 옳지 않다.
  3. ARP 스푸핑은 거짓 ARP 응답으로 상대 IP에 대응하는 MAC 주소를 공격자의 것으로 바꿔 놓아 패킷이 공격자에게 오도록 만든다. 설명과 일치하므로 옳다(정답).
  4. ICMP 리다이렉트 공격은 가짜 경로 변경 메시지로 호스트의 라우팅 경로를 공격자 쪽으로 돌리는 공격이다. ARP 표를 속이는 방식이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 모의고사 오답을 하나씩 정리하다가 서버로 SYN 신호만 끝없이 보내는 시험 도구의 동작을 살폈다. 연결 대기 칸이 가득 차 정상 접속이 막히는 것을 확인하고 서비스 거부 계열이라는 분류를 옆에 적었다.
  2. 甲은 웹 주소를 입력했는데 다른 사이트가 열린 사례를 조사했다. 이름과 IP 주소의 대응이 바뀐 것이 원인이라는 점을 DNS 스푸핑 옆에 옮겨 적고 MAC 이야기와 선을 그었다.
  3. 甲은 주말 저녁 집중해서 복습하던 중에 같은 사무실 PC에서 arp -a로 게이트웨이의 MAC 주소를 확인했다. 갑자기 다른 값으로 바뀐 것을 발견하고 공격자 MAC과 같은지 대조하여 기록해 두었다.
  4. 甲은 라우터가 보낸 경로 변경 안내 메시지를 가장한 패킷의 구조를 그려 보았다. 경로를 바꾸는 공격이지 MAC 표를 바꾸는 공격이 아님을 확인하고 ARP 스푸핑과 나란히 견주었다.

  IP에 대응하는 MAC 주소를 공격자 것으로 속이는 공격은 ARP 스푸핑이다.

• 47

  IEEE 802.11i 키 관리의 쌍별 키 계층을 바르게 나열한 것은?

  (가) (나) (다)

  1. 1. PMK TK PTK
  2. 2. PMK PTK TK
  3. 3. PTK TK PMK
  4. 4. PTK PMK TK

  정답 2번

  🔍 보기별 해설

  1. 첫 칸을 PMK로 잡은 것은 맞지만 그다음에 TK를 두면 순서가 틀린다. PMK에서 PTK를 만들고 그 PTK 안에서 TK가 나오므로 옳지 않다.
  2. 그림에서 PSK가 PMK의 근원이 되고 PMK로 4-way 핸드셰이크를 하여 PTK를 만든다. 이어 PTK의 일부를 잘라 TK로 쓰므로 PMK-PTK-TK 순서이며 옳다(정답).
  3. PTK를 맨 앞에 두면 마스터 키 PMK가 뒤로 밀려 근원 키가 파생 키보다 아래가 된다. 파생 방향이 뒤집힌 것이므로 옳지 않다.
  4. PTK를 맨 앞에 두고 PMK를 가운데에 놓은 배열도 파생 방향이 거꾸로다. 마스터 키가 먼저이고 세션 키들이 그 아래에 이어지므로 옳지 않다.

  🧮 풀이

  1. 甲은 그림에서 PSK 아래에 세 칸이 이어진 것을 보고 PMK, TK, PTK 순서라고 적었다. 그러나 PTK에서 TK가 나온다는 설명을 읽고 두 칸의 자리를 서로 바꾸어 다시 표시했다.
  2. 甲은 무선 랜 접속 때 마스터 키에서 접속마다 새 키를 뽑아 쓴다는 흐름을 정리했다. 근원 PMK 다음이 PTK이고 그 안에서 데이터 암호용 TK가 잘려 나온다고 화살표로 이어 그렸다.
  3. 甲은 주말 저녁 집중해서 복습하던 중에 PTK를 맨 위에 두고 PMK를 가운데 놓은 답안을 훑어보았다. 파생 키가 마스터 키보다 위에 놓이는 것은 말이 되지 않는다고 판단하고 그 보기에 가위표를 쳤다.
  4. 甲은 마지막 보기에서 PTK, PMK, TK 순서가 어색하다고 느껴 4-way 핸드셰이크를 다시 짚었다. 핸드셰이크의 입력이 PMK이고 출력이 PTK라는 점을 헤아려 보고 화살표 방향을 붙여 두었다.

  802.11i 쌍별 키 계층은 PSK 아래로 PMK, PTK, TK 순이다.

• 48

  CC(Common Criteria)의 보증 요구사항(Assurance Requirements)에 해당하는 것은?

  1. 1. 개발
  2. 2. 암호 지원
  3. 3. 식별과 인증
  4. 4. 사용자 데이터 보호

  정답 1번

  🔍 보기별 해설

  1. 개발은 보안 대상이 설계·구현되는 과정을 명세하고 검증하는 보증 클래스이다. 기능이 아니라 신뢰를 주는 보증 요구사항이므로 옳다(정답).
  2. 암호 지원은 키 관리와 암호 연산처럼 제품이 수행해야 할 보안 기능을 나타낸다. 기능 요구사항의 클래스이므로 옳지 않다.
  3. 식별과 인증은 사용자를 확인하는 제품의 보안 기능을 규정한다. 무엇을 하는가에 관한 기능 요구사항이므로 옳지 않다.
  4. 사용자 데이터 보호는 접근통제와 정보 흐름 통제처럼 제품이 제공할 보안 기능을 규정한다. 기능 요구사항의 클래스이므로 옳지 않다.

  🧮 풀이

  1. 甲은 CC 문서에서 개발, 지침서, 수명주기 지원, 시험 같은 분류가 모인 부분을 찾았다. 제품을 어떻게 만들었는지 보증하는 항목들이라는 설명을 읽고 개발 옆에 보증이라 적어 넣었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 암호 키 생성과 파기 요구가 적힌 부분을 펼쳤다. 제품이 갖춰야 할 기능에 관한 요구이므로 기능 요구사항이라 판단하고 암호 지원 곁에 기능이라고 표시했다.
  3. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 로그인 시 신원을 확인하는 요구가 정리된 장을 읽었다. 제품이 수행하는 동작을 다루므로 기능 요구사항이라 보고 요구 목록 가운데 식별과 인증 항목에 밑줄을 그었다.
  4. 甲은 점심 뒤 휴게실에서 접근통제와 정보 흐름 통제가 묶인 분류를 찾아 목차에 옮겨 적었다. 이들은 무엇을 보호하는지 정하는 기능 항목이라 보고 사용자 데이터 보호를 기능 쪽 줄에 넣었다.

  CC 보증 요구사항에는 개발, 시험 등이 있고 식별과 인증·암호 지원 등은 기능 요구사항이다.

• 49

  다음 /etc/passwd 파일 내용에 대한 설명으로 옳지 않은 것은?

  root : x : 0 : 0 : root : /root : /bin/bash

  ㉠

  ㉡

  ㉢

  ㉣

  1. 1. ㉠은 사용자 ID이다.
  2. 2. ㉡은 UID 정보이다.
  3. 3. ㉢은 사용자 홈 디렉터리 경로이다.
  4. 4. ㉣은 패스워드가 암호화되어 /bin/bash 경로에 저장되어 있음을 의미한다.

  정답 4번

  🔍 보기별 해설

  1. 첫 필드는 로그인에 쓰는 사용자 ID이며 예에서는 root이다. 사용자 이름을 나타내는 설명이 맞으므로 설명이 맞다.
  2. UID 필드는 사용자를 식별하는 번호이며 root는 0이다. 시스템은 이름이 아니라 이 번호로 권한을 판단하므로 설명이 맞다.
  3. 이 필드는 사용자가 로그인했을 때 시작 위치가 되는 홈 디렉터리 경로이며 root는 /root이다. 설명이 맞다.
  4. 마지막 필드 /bin/bash는 로그인 시 실행되는 셸의 경로를 나타낸다. 암호는 두 번째 필드의 x가 가리키는 /etc/shadow에 저장되므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 root 계정의 한 줄을 콜론으로 잘라 칸마다 이름을 붙였다. 첫 칸이 로그인 이름인 root임을 확인하고 그 아래에 사용자 ID라 적어 넣었다.
  2. 甲은 퇴근 뒤 도서관에서 root의 UID가 0이라는 점을 다른 일반 사용자의 값과 견주었다. 시스템이 이름보다 번호로 권한을 판정한다는 설명을 읽고 0번 계정을 색깔 펜으로 표시했다.
  3. 甲은 주말 자습 중에 새 계정을 만들고 홈 디렉터리 필드가 /home/이름으로 채워진 것을 보았다. 로그인하면 처음 놓이는 곳이라는 뜻을 옆에 적고 root 줄의 /root와 비교했다.
  4. 甲은 마지막 칸을 암호 저장 위치로 오해했다가 사용자 매뉴얼을 찾아보았다. 그 칸은 로그인 셸이고 암호는 /etc/shadow에 있다는 내용을 발견하여 문제지 여백에 고쳐 써 두었다.

  /etc/passwd에서 패스워드는 x로 표시하고 실제 해시는 /etc/shadow에 두며, 마지막 필드는 로그인 셸이다.

• 50

  리눅스에서 설정된 umask 값이 027일 때, 생성된 디렉터리의 기본접근 권한으로 옳은 것은?

  1. 1. drw-r-----
  2. 2. d---r--rw-
  3. 3. drwxr-x---
  4. 4. d---r-xrwx

  정답 3번

  🔍 보기별 해설

  1. drw-r-----는 소유자가 rw-로 실행 비트가 없어 디렉터리에 들어갈 수 없는 640 꼴이다. 777에서 umask 027을 뺀 750과 다르므로 옳지 않다.
  2. d---r--rw-는 소유자 권한이 없고 기타 사용자에게 읽기·쓰기를 준 이상한 꼴이다. umask 027이 만드는 750과 전혀 다르므로 옳지 않다.
  3. 디렉터리의 기본값 777에서 027을 빼면 소유자 7, 그룹 5, 기타 0이 되어 750이다. 이를 문자로 나타내면 drwxr-x---이므로 옳다(정답).
  4. d---r-xrwx는 소유자 권한이 없고 기타 사용자에게 모든 권한을 준 꼴이다. umask는 권한을 빼는 값이라 이런 결과가 나올 수 없으므로 옳지 않다.

  🧮 풀이

  1. 甲은 리눅스에서 umask 027을 설정하고 새 디렉터리를 만들어 ls -l을 실행했다. 문자열이 drwxr-x---로 나와 777에서 027을 뺀 값과 같음을 확인하고 명령 결과를 공책에 붙여 두었다.
  2. 甲은 drw-r-----에서 실행 비트가 빠진 것이 이상해 cd를 시도했다. 디렉터리는 x가 있어야 들어갈 수 있으므로 기본 권한이 될 수 없다는 것을 보고 그 보기에 가위표를 쳤다.
  3. 甲은 오답 노트를 정리하다가 umask를 빼는 계산을 8진수로 자릿수마다 해 보았다. 7에서 0, 2, 7을 각각 빼면 7, 5, 0이 되어 소유자 7 그룹 5 기타 0으로 정리하여 옮겨 적었다.
  4. 甲은 기타 사용자에게 모든 권한이 열려 있는 보기를 만났다. umask 027은 기타 권한을 모두 막는 값이라는 점을 떠올려 그 보기를 배제하고 기타 칸에 세 개의 줄표를 적었다.

  디렉터리 기본 권한은 777에서 umask 027을 빼서 750, 즉 drwxr-x---이다.

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 51

  역공학을 위해 로우레벨 언어에서 하이레벨 언어로 변환할 목적을 가진 도구는?

  1. 1. 디버거(Debugger)
  2. 2. 디컴파일러(Decompiler)
  3. 3. 패커(Packer)
  4. 4. 어셈블러(Assembler)

  정답 2번

  🔍 보기별 해설

  1. 디버거는 실행 중인 프로그램을 한 줄씩 멈추며 레지스터와 메모리를 살피는 도구이다. 고급 언어로 변환하는 것이 아니므로 옳지 않다.
  2. 디컴파일러는 실행 파일이나 어셈블리 같은 저급 표현을 사람이 읽기 쉬운 고급 언어 소스 꼴로 되돌린다. 설명과 일치하므로 옳다(정답).
  3. 패커는 실행 파일을 압축하거나 암호화해 분석을 어렵게 만드는 도구이다. 고급 언어로 복원하는 것과 반대 방향이므로 옳지 않다.
  4. 어셈블러는 어셈블리 언어를 기계어로 바꾸는 도구이다. 저급으로 내려가는 방향이지 고급으로 올라가는 것이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 출근길 지하철에서 악성 프로그램을 한 줄씩 멈춰 가며 메모리 값을 살펴보았다. 이렇게 실행을 따라가는 것이 디버거의 일이지 소스 복원이 아님을 기록하고 도구 이름을 곁에 적었다.
  2. 甲은 기출 해설을 읽다가 분석용 실행 파일을 도구에 올려 C 비슷한 코드가 나오는 것을 보았다. 저급 코드를 고급 언어로 되돌리는 도구가 디컴파일러라는 것을 확인하고 화면을 캡처해 두었다.
  3. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 악성코드가 자기 몸을 압축해 숨기는 예를 읽었다. 분석을 피하려고 덧씌우는 것이 패커의 목적이라는 점을 따져 보고 디컴파일러와 반대되는 자리에 표시했다.
  4. 甲은 점심 먹고 남은 시간에 노트북을 열고 어셈블리 소스를 기계어 파일로 만드는 과정을 그려 보았다. 방향이 저급으로 내려가는 것이라 디컴파일과 반대임을 화살표로 나타내고 옆에 어셈블러라 써 두었다.

  저급 언어를 고급 언어로 되돌리는 도구는 디컴파일러이다.

• 52

  위험 평가 방법에 대한 설명으로 옳지 않은 것은?

  1. 1. 정성적 위험 평가는 자산에 대한 화폐가치 식별이 어려운 경우 이용한다.
  2. 2. 정량적 분석법에는 델파이법, 시나리오법, 순위결정법, 브레인스토밍 등이 있다.
  3. 3. 정성적 분석법은 위험 평가 과정과 측정기준이 주관적이어서 사람에 따라 결과가 달라질 수 있다.
  4. 4. 정량적 위험 평가 방법에 의하면 연간 기대 손실은 위협이 성공했을 경우의 예상 손실액에 그 위협의 연간 발생률을 곱한 값이다.

  정답 2번

  🔍 보기별 해설

  1. 정성적 평가는 자산의 금전적 가치를 정하기 어려울 때 등급이나 서술로 위험을 평가한다. 실제로 그렇게 쓰이므로 설명이 맞다.
  2. 델파이법·시나리오법·순위결정법·브레인스토밍은 모두 전문가의 판단에 의존하는 정성적 분석법이다. 이를 정량적이라 한 것이 틀렸으므로 옳지 않다(정답).
  3. 주관적 판단에 의존하는 정성적 방법은 평가자가 바뀌면 결과도 흔들릴 수 있다는 것이 알려진 한계이다. 이 지적은 정확하므로 설명이 맞다.
  4. 정량적 방법에서 연간 기대 손실 ALE는 한 번의 손실 예상액 SLE에 연간 발생률 ARO를 곱해 구한다. 정확한 설명이므로 설명이 맞다.

  🧮 풀이

  1. 甲은 쉬는 시간에 자산의 시장 가격을 매길 수 없는 연구 자료의 위험을 평가해야 했다. 금액 대신 상·중·하 등급으로 표시하는 정성적 방식이 알맞다고 보고 평가표를 만들어 두었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 전문가들이 여러 차례 의견을 모아 위험을 정하는 델파이법 사례를 읽었다. 숫자 계산이 아니라 판단의 취합이라 정성적이라고 판단하고 분류표 위쪽 칸에 옮겨 써 두었다.
  3. 甲은 기출 문제집을 처음부터 다시 훑어보다가 같은 위협을 두 평가자가 다르게 평가한 결과표를 견주어 보았다. 정성적 분석이 주관에 따라 달라진다는 교재 설명과 맞아떨어져 표 아래에 짧게 메모해 두었다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 한 번 사고 손실이 1000만 원이고 연 두 번 일어난다면 ALE가 얼마인지 셈해 보았다. 곱하기로 2000만 원이 나오는 것을 확인하고 식을 그 옆에 기록해 두었다.

  델파이법·시나리오법·순위결정법·브레인스토밍은 정성적 분석법이고, 정량적 분석은 ALE 등으로 금액화한다.

• 53

  「개인정보 보호법」 제30조(개인정보 처리방침의 수립 및 공개)에 따라 개인정보처리자가 정해야 하는 ‘개인정보 처리방침’에 포함되는 사항이 아닌 것은?

  1. 1. 개인정보의 처리 목적
  2. 2. 개인정보의 처리 및 보유 기간
  3. 3. 정보주체와 법정대리인의 권리ㆍ의무 및 그 행사방법에 관한 사항
  4. 4. 개인정보처리자의 성명 또는 개인정보를 활용하는 부서의 명칭과 전화번호 등 연락처

  정답 4번

  🔍 보기별 해설

  1. 개인정보의 처리 목적은 처리방침에 반드시 들어가는 사항이다. 정보주체가 어떤 목적으로 쓰이는지 알아야 하므로 사항에 해당한다.
  2. 얼마 동안 보관하다 언제 파기하는지 정보주체에게 알려야 하므로 보유 기간은 방침에 반드시 들어간다. 처리방침 포함 사항에 해당한다.
  3. 정보주체와 법정대리인의 권리·의무 및 그 행사방법은 처리방침의 포함 사항이다. 열람·정정 요구 방법을 알려 주어야 하므로 사항에 해당한다.
  4. 처리방침에 들어가는 것은 개인정보 보호책임자의 성명이나 보호 업무와 고충을 처리하는 부서의 명칭과 연락처이다. 처리자의 성명이나 활용 부서를 적는 것이 아니므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 일요일 오후 스터디 카페에서 홈페이지 하단의 개인정보 처리방침을 열어 첫 항목을 읽었다. 수집 목적이 가장 앞에 적혀 있음을 확인하고 필수 항목 체크 목록의 첫 줄에 표시했다.
  2. 甲은 오답 노트를 정리하다가 처리방침에서 회원 탈퇴 뒤 보관하는 기간이 명시되어 있는지 찾아보았다. 보유 기간 항목이 있는 것을 보고 처리방침 필수 항목 표 둘째 칸에 따로 적었다.
  3. 甲은 동료와 함께 문제를 풀어 보다가 처리방침 중 열람과 정정을 요청하는 절차 부분을 읽었다. 정보주체의 권리와 행사방법을 알리는 항목이라 확인하고 해당 쪽에 형광펜으로 줄을 그어 두었다.
  4. 甲은 처리방침의 연락처 항목을 읽다가 처리자 성명을 쓰는 것으로 잘못 기억했음을 알았다. 실제로는 보호책임자 성명이나 고충 처리 부서의 명칭과 연락처이므로 메모를 고쳐 적었다.

  개인정보 처리방침에는 개인정보 보호책임자의 성명 등을 적으며, 처리자 성명이나 활용 부서 연락처는 아니다.

• 54

  「개인정보 보호법」 제4조(정보주체의 권리)에 따른 정보주체의 권리가 아닌 것은?

  1. 1. 개인정보의 처리에 관한 정보를 제공받을 권리
  2. 2. 개인정보의 처리 정지, 정정ㆍ삭제 및 파기를 요구할 권리
  3. 3. 개인정보의 처리로 인하여 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리
  4. 4. 완전히 자동화된 개인정보 처리에 따른 결정을 승인하거나 그에 대한 회복 등을 요구할 권리

  정답 4번

  🔍 보기별 해설

  1. 개인정보의 처리에 관한 정보를 제공받을 권리는 제4조가 정한 정보주체의 권리이다. 처리 사실을 알 수 있어야 하므로 권리가 맞다.
  2. 처리 정지, 정정·삭제 및 파기를 요구할 권리는 제4조가 정한 권리이다. 자기 정보의 처리를 통제하는 기본 권리이므로 권리가 맞다.
  3. 침해를 당했을 때 신속하고 공정한 절차로 구제받을 수 있어야 하므로 이 권리는 제4조가 정한 권리에 속한다. 정보주체의 권리가 맞다.
  4. 완전히 자동화된 처리에 따른 결정에 대해서는 이를 거부하거나 그에 대한 설명 등을 요구할 권리가 규정되어 있다. 승인하거나 회복을 요구할 권리로 바꾼 것은 법에 없는 내용이므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 모의고사를 채점하다가 앱을 처음 가입하며 수집 항목과 이용 방법을 알려 달라고 요청했다. 처리 정보를 제공받을 권리라고 보고 요청 기록과 함께 그 날짜를 달력에 표시했다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 오래된 회원 정보를 지워 달라고 서비스 회사에 요구하는 메일 초안을 썼다. 삭제와 처리 정지를 요구할 권리가 법에 있음을 확인하고 조문 번호를 메일 끝에 덧붙였다.
  3. 甲은 출근길 지하철에서 개인정보가 새어 나간 피해를 구제받는 절차를 알아보았다. 신속하고 공정한 절차로 구제받을 권리가 법에 있음을 확인하고 분쟁 조정 창구를 수첩에 메모해 두었다.
  4. 甲은 대출 심사가 기계로만 판정되는 사례를 읽었다. 정보주체에게는 이를 승인하는 것이 아니라 거부하거나 설명을 요구할 권리가 있다는 점을 정리하여 보기 옆에 바로잡아 옮겨 놓았다.

  자동화된 결정에 대해서는 승인이 아니라 거부하거나 설명을 요구할 권리가 있다.

• 55

  증거물의 “획득 → 이송 → 분석 → 보관 → 법정 제출” 과정에 대한 추적성을 보장하기 위하여 준수해야 하는 원칙은?

  1. 1. 연계 보관성의 원칙
  2. 2. 정당성의 원칙
  3. 3. 재현의 원칙
  4. 4. 무결성의 원칙

  정답 1번

  🔍 보기별 해설

  1. 연계 보관성의 원칙은 증거를 수집·이송·분석·보관·제출하는 모든 단계의 취급자와 이력을 끊김 없이 남겨 추적성을 보장한다. 설명과 일치하므로 옳다(정답).
  2. 정당성의 원칙은 증거를 적법한 절차와 방법으로 수집해야 한다는 원칙이다. 이력 추적이 아니라 수집의 적법성을 말하므로 옳지 않다.
  3. 재현의 원칙은 같은 조건에서 같은 도구와 절차로 분석하면 같은 결과가 나와야 한다는 원칙이다. 이력 추적이 아니므로 옳지 않다.
  4. 무결성의 원칙은 증거가 수집된 뒤 위조·변조되지 않았음을 입증해야 한다는 원칙이다. 이력 추적이 아니라 변조 여부를 다루므로 옳지 않다.

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 압수한 노트북이 현장에서 법정까지 누구 손을 거쳤는지 적는 이력표를 보았다. 취급자와 시각이 빈틈없이 이어져야 한다는 설명에 연계 보관성이라 붙이고 표의 빈칸을 없앴다.
  2. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 영장 없이 얻은 파일을 증거로 쓸 수 있을지 사례를 검토했다. 수집 절차가 적법해야 한다는 정당성의 문제로 보고 이력 문제와 나눠 다른 쪽에 정리했다.
  3. 甲은 동료와 함께 문제를 풀어 보다가 다른 분석가가 같은 방법으로 같은 결과를 얻는지 시험했다. 이를 재현의 원칙이라 부르고 이력 관리와는 다른 문제라는 것을 도표 왼편에 남겨 두었다.
  4. 甲은 기출 문제집을 처음부터 다시 훑어보다가 복사본과 원본의 해시 값을 비교하는 절차를 그렸다. 값이 같아야 변조가 없다는 무결성을 입증하는 일이라고 정리하고 그 밑에 해시 값을 베껴 적었다.

  획득부터 법정 제출까지 증거의 이력을 끊지 않고 추적하게 하는 원칙은 연계 보관성이다.

• 56

  128비트 키를 이용한 AES 알고리즘 연산 수행에 필요한 내부 라운드 수는?

  1. 1. 10
  2. 2. 12
  3. 3. 14
  4. 4. 16

  정답 1번

  🔍 보기별 해설

  1. 128비트 키를 쓰는 AES는 초기 라운드 키 덧셈 뒤에 10번의 라운드를 수행한다. 규격에 정해진 값이므로 옳다(정답).
  2. 12라운드는 192비트 키를 쓰는 AES의 라운드 수이다. 키 길이가 길수록 라운드가 늘어나지만 128비트 키에는 해당하지 않으므로 옳지 않다.
  3. 14라운드는 256비트 키를 쓰는 AES의 라운드 수이다. 128비트 키 문항의 답이 될 수 없으므로 옳지 않다.
  4. 16은 AES가 다루는 블록의 바이트 수로 헷갈리기 쉬운 값이다. 128비트 키의 라운드 수와는 관계가 없으므로 옳지 않다.

  🧮 풀이

  1. 甲은 동료와 함께 문제를 풀어 보다가 AES-128의 흐름도를 그려 라운드 상자를 하나씩 세었다. 마지막 라운드만 열 섞기가 빠지는 것을 확인하고 상자가 열 개인 것을 옆에 적어 놓았다.
  2. 甲은 192비트 키를 쓰는 AES의 표를 찾아 12라운드라는 값을 확인했다. 128비트 문항의 답으로 쓰면 안 된다는 점을 새겨 표 머리에 키 길이와 라운드 수를 나란히 적어 넣었다.
  3. 甲은 점심 먹고 남은 시간에 노트북을 열고 256비트 키를 쓰는 AES가 14라운드라는 것을 표로 옮겼다. 키가 길수록 라운드가 늘어나는 흐름을 그래프처럼 세 점으로 찍어 확인했다.
  4. 甲은 퇴근 뒤 도서관에서 AES 블록이 16바이트이고 이것이 128비트임을 계산으로 확인했다. 이 수는 라운드 수가 아니므로 헷갈리지 않게 16 옆에 블록 크기라고 써 두었다.

  AES는 키 길이가 128·192·256비트이면 라운드 수가 각각 10·12·14이다.

• 57

  SSL에서 기밀성과 메시지 무결성을 제공하기 위해 단편화, 압축, MAC 첨부, 암호화를 수행하는 프로토콜은?

  1. 1. 경고 프로토콜
  2. 2. 레코드 프로토콜
  3. 3. 핸드셰이크 프로토콜
  4. 4. 암호 명세 변경 프로토콜

  정답 2번

  🔍 보기별 해설

  1. 경고 프로토콜은 세션 도중 오류나 종료 같은 문제를 상대에게 알리는 메시지를 전달한다. 데이터 보호 처리를 하지 않으므로 옳지 않다.
  2. 레코드 프로토콜은 상위 데이터를 단편화하고 압축한 뒤 MAC을 붙이고 암호화하여 기밀성과 무결성을 제공한다. 설명과 일치하므로 옳다(정답).
  3. 핸드셰이크 프로토콜은 서로 인증하고 암호 알고리즘과 키를 협상하는 프로토콜이다. 실제 데이터를 처리하는 단계가 아니므로 옳지 않다.
  4. 암호 명세 변경 프로토콜은 협상한 암호 방식을 이제부터 적용한다고 알리는 한 바이트 메시지이다. 데이터를 가공하지 않으므로 옳지 않다.

  🧮 풀이

  1. 甲은 저녁 복습 시간에 SSL 세션에서 오류가 났을 때 상대에게 알리는 메시지의 종류를 살폈다. 이런 알림은 경고 프로토콜의 일이고 데이터 가공이 아니어서 다른 칸에 옮겨 써 두었다.
  2. 甲은 일요일 오후 스터디 카페에서 응용 데이터가 조각나고 압축되고 MAC이 붙고 암호화되는 순서를 그림으로 그렸다. 이것이 레코드 프로토콜의 일이라고 확인하고 그림 제목에 그 이름을 기록해 두었다.
  3. 甲은 모의고사 오답을 하나씩 정리하다가 접속 처음에 서로 인증서를 주고받으며 키를 정하는 과정을 다시 읽었다. 이는 핸드셰이크의 일이고 데이터 보호는 그 뒤에 온다는 것을 순서표에 표시했다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 암호 명세 변경 메시지가 한 바이트라는 점에 놀랐다. 앞으로 협상한 방식을 쓰겠다는 알림일 뿐이므로 데이터 가공 기능이 없음을 확인하고 한 줄로 요약해 두었다.

  단편화·압축·MAC·암호화를 수행해 기밀성과 무결성을 주는 SSL 프로토콜은 레코드 프로토콜이다.

• 58

  「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제45조(정보통신망의 안정성 확보 등)에서 정보보호지침에 포함되어야 하는 사항으로 명시적으로 규정한 것이 아닌 것은?

  1. 1. 정보통신망연결기기등의 정보보호를 위한 물리적 보호조치
  2. 2. 정보의 불법 유출⋅위조⋅변조⋅삭제 등을 방지하기 위한 기술적 보호조치
  3. 3. 정보통신망의 지속적인 이용이 가능한 상태를 확보하기 위한 기술적⋅물리적 보호조치
  4. 4. 정보통신망의 안정 및 정보보호를 위한 인력⋅조직⋅경비의 확보 및 관련 계획수립 등 관리적 보호조치

  정답 1번

  🔍 보기별 해설

  1. 정보통신망법 제45조가 정보보호지침에 넣도록 한 것은 정보통신망연결기기등의 정보보호를 위한 기술적 보호조치이다. 이를 물리적 보호조치라고 쓴 것이 틀렸으므로 규정한 것이 아니다(정답).
  2. 정보의 불법 유출·위조·변조·삭제 등을 방지하기 위한 기술적 보호조치는 제45조가 지침에 넣도록 한 사항이다. 조문과 일치하므로 사항에 해당한다.
  3. 서비스가 끊기지 않게 하는 조치를 기술과 시설 양면에서 갖추도록 조문이 정하고 있다. 지침에 넣도록 한 사항에 해당한다.
  4. 사람과 조직, 예산을 갖추고 계획을 세우는 관리 차원의 대책도 조문에 들어 있다. 지침에 넣도록 한 사항에 해당한다.

  🧮 풀이

  1. 甲은 모의고사 오답을 하나씩 정리하다가 제조사가 만드는 사물인터넷 기기의 보호조치를 조문에서 찾아보았다. 기기에 대해서는 기술적 보호조치만 규정되어 있음을 확인하고 물리적이라 적은 메모를 지웠다.
  2. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 정보 유출 방지 항목이 기술적 보호조치로 되어 있는지 조문과 대조했다. 위·변조와 삭제를 막는 기술적 조치라는 문구를 확인하고 조문 옆에 옮겨 메모해 두었다.
  3. 甲은 퇴근 뒤 도서관 열람실에서 서비스가 끊기지 않게 하는 조치를 다룬 항목을 읽었다. 이 항목은 기술적·물리적 조치가 함께 들어 있음을 확인하고 두 단어에 각각 밑줄을 그었다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 인력·조직·경비 확보와 계획 수립이 어떤 종류의 조치인지 분류했다. 사람과 제도에 관한 관리적 보호조치라고 정리하고 기술적 조치와 다른 색으로 표시했다.

  정보통신망연결기기등의 정보보호 조치는 기술적 보호조치로 규정되며 물리적 조치가 아니다.

• 59

  다음에서 설명하는 ISMS-P의 단계는?

  ○ 조직의 업무특성에 따라 정보자산 분류기준을 수립하여 관리체계 범위 내 모든 정보자산을 식별ㆍ분류하고, 중요도를 산정한 후 그 목록을 최신으로 관리하여야 한다.

  ○ 관리체계 전 영역에 대한 정보서비스 및 개인정보 처리 현황을 분석하고 업무 절차와 흐름을 파악하여 문서화하며, 이를 주기적으로 검토하여 최신성을 유지하여야 한다.

  ○ 위험 평가 결과에 따라 식별된 위험을 처리하기 위하여 조직에 적합한 보호대책을 선정하고, 보호대책의 우선순위와 일정ㆍ담당자ㆍ예산 등을 포함한 이행계획을 수립하여 경영진의 승인을 받아야 한다.

  1. 1. 위험 관리
  2. 2. 관리체계 운영
  3. 3. 관리체계 기반 마련
  4. 4. 관리체계 점검 및 개선

  정답 1번

  🔍 보기별 해설

  1. 자료는 정보자산 식별·분류, 현황과 업무 흐름 분석, 위험 평가 결과에 따른 보호대책 선정과 이행계획 수립을 말한다. 위험 관리 단계의 활동이므로 옳다(정답).
  2. 관리체계 운영은 선정한 보호대책을 구현하고 공유하며 현황을 관리하는 단계이다. 자산 식별과 위험 평가는 그보다 앞서 이루어지므로 옳지 않다.
  3. 관리체계 기반 마련은 경영진의 참여, 조직 구성, 범위 설정, 정책 수립 같은 출발 준비 단계이다. 자산 식별과 위험 평가는 그다음이므로 옳지 않다.
  4. 관리체계 점검 및 개선은 법적 요구사항 준수 여부를 점검하고 결과에 따라 개선하는 단계이다. 위험을 찾아 대책을 정하는 일이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 기출 문제집을 처음부터 다시 훑어보다가 자료 세 항목이 모두 자산 식별에서 보호대책 이행계획까지의 흐름임을 살폈다. 공통점이 위험을 찾고 다루는 일이라 위험 관리로 묶고 문제 옆에 그 이름을 남겨 두었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 보호대책을 이미 구현하고 운영 상태를 관리하는 단계를 관리체계 운영으로 분류했다. 자료는 구현 이전의 단계에 해당하므로 이 선택지를 단계별 정리표에서 지웠다.
  3. 甲은 동료와 함께 문제를 풀어 보다가 경영진의 참여와 정책을 세우는 기반 마련 단계의 항목을 확인했다. 자료의 자산 식별과 위험 평가는 그 뒤에 이어지므로 순서표에 화살표로 표시했다.
  4. 甲은 기출 해설을 읽다가 점검과 개선 단계에서 하는 일이 준수 여부 검토라는 점을 표에 옮겨 적었다. 자료가 대책 선정을 말하고 있어 서로 다른 단계라는 것을 확인하고 견주어 보았다.

  정보자산 식별·현황 흐름 분석·위험 평가와 보호대책 선정은 ISMS-P의 위험 관리 단계이다.

• 60

  디지털 콘텐츠의 불법 복제와 유포를 막고 저작권 보유자의 이익과 권리를 보호해 주는 기술은?

  1. 1. PGP(Pretty Good Privacy)
  2. 2. IDS(Intrusion Detection System)
  3. 3. DRM(Digital Rights Management)
  4. 4. PIMS(Personal Information Management System)

  정답 3번

  🔍 보기별 해설

  1. PGP는 전자우편을 암호화하고 서명하는 도구이다. 콘텐츠의 복제와 유포를 통제하는 기술은 아니어서 이 설명에 맞지 않으므로 옳지 않다.
  2. IDS는 네트워크나 시스템에서 침입 징후를 탐지해 알리는 시스템이다. 저작권 보호와는 관계가 없으므로 옳지 않다.
  3. DRM은 콘텐츠에 암호화와 사용 권한 통제를 적용해 불법 복제와 유포를 막고 저작권자의 이익을 보호한다. 설명과 일치하므로 옳다(정답).
  4. PIMS는 개인정보 보호 관리체계를 인증하는 제도이다. 콘텐츠의 불법 복제를 막는 기술은 아니어서 이 설명에 맞지 않으므로 옳지 않다.

  🧮 풀이

  1. 甲은 메일을 암호화하고 서명하는 프로그램을 설치해 보았다. 전자우편을 지키는 도구일 뿐 콘텐츠 복제를 막는 기능이 없는 것을 확인하고 PGP 옆에 메일 보호용이라 적어 놓았다.
  2. 甲은 점심 먹고 남은 시간에 노트북을 열고 서버 앞단의 침입 탐지 장비가 이상 트래픽을 알리는 화면을 살폈다. 저작권과는 상관없는 방어 장치라는 점을 정리하여 IDS의 쓰임을 따로 적었다.
  3. 甲은 오답 노트를 정리하다가 구입한 전자책을 다른 기기로 옮기려다 막힌 경험을 떠올렸다. 이용 권한을 통제해 복제와 유포를 막는 DRM 기술이라는 것을 알고 사용 조건을 화면에서 확인했다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 개인정보 보호 관리체계를 인증하는 PIMS의 자료를 찾아보았다. 인증 제도이지 콘텐츠 보호 기술이 아님을 확인하고 두 용어를 다른 칸으로 나누어 표시했다.

  디지털 콘텐츠의 불법 복제와 유포를 막고 저작권자의 권리를 보호하는 기술은 DRM이다.

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 61

  적극적(active) 공격에 해당하는 것만을 모두 고르면?

  ㄱ. 위장(masquerade)

  ㄴ. 변조(modification)

  ㄷ. 도청(eavesdropping)

  ㄹ. 트래픽 분석(traffic analysis)

  1. 1. ㄱ, ㄴ
  2. 2. ㄱ, ㄷ
  3. 3. ㄴ, ㄹ
  4. 4. ㄷ, ㄹ

  정답 1번

  🔍 보기별 해설

  1. 위장은 다른 개체인 척하는 공격이고 변조는 전송 중인 메시지를 바꾸는 공격이다. 둘 다 데이터나 흐름에 손을 대는 적극적 공격이므로 이 묶음이 맞다.
  2. 위장은 적극적 공격이지만 도청은 통신 내용을 몰래 듣기만 하고 내용을 바꾸지 않는 소극적 공격이다. 소극적 공격이 섞여 있으므로 이 묶음은 옳지 않다.
  3. 변조는 적극적 공격이지만 트래픽 분석은 메시지의 양과 방향 같은 흐름만 관찰하는 소극적 공격이다. 소극적 공격이 섞여 있으므로 이 묶음은 옳지 않다.
  4. 도청과 트래픽 분석은 둘 다 통신을 몰래 관찰하기만 하고 아무것도 바꾸지 않는 소극적 공격이다. 적극적 공격이 하나도 없으므로 이 묶음은 옳지 않다.

  🧮 풀이

  1. 甲은 다른 직원 계정으로 접속한 것처럼 꾸민 위장 사례와 전송 중 금액을 바꾼 변조 사례를 함께 읽었다. 둘 다 실제로 무언가 바꾸는 공격이어서 적극적이라는 분류를 붙이고 표의 윗줄에 옮겨 적었다.
  2. 甲은 일요일 오후 스터디 카페에서 위장과 도청이 함께 묶인 보기를 살폈다. 도청은 몰래 듣기만 할 뿐 내용을 건드리지 않아 소극적이라는 점을 확인하고 그 보기에 가위표를 쳤다.
  3. 甲은 점심 뒤 휴게실에서 변조와 트래픽 분석이 함께 묶인 보기를 살폈다. 트래픽 분석은 오가는 양만 지켜보는 관찰이므로 소극적 공격이라 판단하고 변조와 다른 칸에 나누어 적어 두었다.
  4. 甲은 오답 노트를 정리하다가 도청과 트래픽 분석만 모인 보기를 읽었다. 둘 다 통신을 바꾸지 않고 지켜보기만 하는 공격이라 소극적 공격 목록과 같다는 점을 새겨 두고 표의 아랫줄에 표시했다.

  적극적 공격은 위장·변조처럼 데이터를 바꾸거나 만들어 내는 공격이고, 도청·트래픽 분석은 소극적 공격이다. 정답은 1번.

• 62

  전자서명이 제공하는 보안 요소가 아닌 것은?

  1. 1. 메시지 무결성
  2. 2. 서명자 인증
  3. 3. 서명 부인 방지
  4. 4. 메시지 기밀성

  정답 4번

  🔍 보기별 해설

  1. 서명에는 메시지의 해시가 쓰이므로 내용이 바뀌면 검증이 실패한다. 무결성을 제공하므로 전자서명이 주는 요소에 해당한다.
  2. 서명자의 개인키로만 만들 수 있으므로 검증에 성공하면 서명한 사람이 누구인지 확인된다. 서명자 인증을 제공하므로 전자서명이 주는 요소에 해당한다.
  3. 서명자만 가진 개인키로 만들었으므로 나중에 서명하지 않았다고 잡아뗄 수 없다. 부인 방지를 제공하므로 전자서명이 주는 요소에 해당한다.
  4. 서명은 원문에 붙는 검증용 값이고 원문 자체는 암호화되지 않아 누구나 읽을 수 있다. 기밀성은 제공하지 못하므로 제공하는 요소가 아니다(정답).

  🧮 풀이

  1. 甲은 오답 노트를 정리하다가 서명된 계약서의 금액 한 자리를 고쳐 검증해 보았다. 검증이 실패하는 것을 보고 내용이 바뀌면 드러난다는 무결성이 서명에 있음을 확인하고 실험 결과를 첫 줄에 기록했다.
  2. 甲은 주말 자습 중에 인증서로 서명 검증에 성공한 문서의 작성자 이름을 확인했다. 개인키를 가진 사람만 만들 수 있으므로 서명자가 누구인지 확인된다는 점을 서명자 인증 곁에 적어 두었다.
  3. 甲은 서명한 사람이 나중에 서명하지 않았다고 주장하는 상황을 가정해 보았다. 개인키를 가진 본인만 만들 수 있어 주장을 받아들일 수 없다는 정리를 부인 방지 칸에 옮겨 적었다.
  4. 甲은 기출 해설을 읽다가 서명이 붙은 파일을 편집기로 열어 보았다. 원문이 그대로 읽혀서 서명은 내용을 감추지 못한다는 점을 알았고 기밀성은 별도로 암호화해야 한다고 메모해 두었다.

  전자서명은 무결성·서명자 인증·부인 방지를 주지만 기밀성은 주지 않는다.

• 63

  흔히 ‘Orange Book’으로 불리며, 미국에서 제정된 보안 표준으로 효과적인 정보보호 시스템 평가의 기준 개발과 이러한 기준에 맞게 개발된 제품들을 평가하는 데 초점을 두고 있는 정보 보안 평가 기준은?

  1. 1. CC
  2. 2. PIMS
  3. 3. ITSEC
  4. 4. TCSEC

  정답 4번

  🔍 보기별 해설

  1. CC는 국제 공통으로 쓰는 정보보호 제품 평가 기준으로 ISO/IEC 15408이 되었다. 미국이 먼저 제정한 Orange Book이 아니므로 옳지 않다.
  2. PIMS는 개인정보 보호 관리체계를 인증하는 제도이다. 제품 평가 기준도 아니고 Orange Book과도 관계가 없으므로 옳지 않다.
  3. ITSEC은 유럽 국가들이 TCSEC을 참고해 만든 평가 기준이다. 미국에서 제정된 Orange Book이 아니라 유럽 쪽 기준이므로 옳지 않다.
  4. TCSEC은 미국 국방부가 제정한 신뢰 컴퓨터 시스템 평가 기준으로 표지 색깔 때문에 Orange Book이라 불린다. 설명과 일치하므로 옳다(정답).

  🧮 풀이

  1. 甲은 모의고사를 채점하다가 평가 기준 연혁표에서 국제 공통 기준이 만들어진 흐름을 따라갔다. CC가 여러 나라 기준을 통합한 것임을 확인하고 Orange Book과 다른 줄에 옮겨 적었다.
  2. 甲은 쉬는 시간에 개인정보 보호 관리체계 인증을 다룬 자료를 읽었다. 제품이 아니라 조직의 관리체계를 평가하는 제도라 Orange Book과 무관함을 PIMS 옆에 적어 두었다.
  3. 甲은 일요일 오후 스터디 카페에서 ITSEC이 유럽에서 만들어졌다는 설명을 찾아 연표에 표시했다. 미국 기준인 Orange Book과 출신이 다르다는 점을 헤아려 보고 두 이름을 서로 다른 색으로 칠했다.
  4. 甲은 책 표지 색이 이름이 된 사례로 Orange Book을 외웠다. 미국 국방부가 만든 TCSEC이 이 별명으로 불린다는 것을 확인하고 카드 뒷면에 두 이름을 함께 적어 두었다.

  Orange Book이라 불리는 미국의 보안 평가 기준은 TCSEC이다.

• 64

  다음에서 설명하는 보안 모델은?

  ○ 상업 환경에서의 데이터의 무결성에 중점을 둔 것이다.

  ○ 정형화된 트랜잭션의 처리 과정에서 직무를 분리하도록 한다.

  ○ 제약을 받는(constrained) 데이터 항목에 대해 무결성 검증 절차를 거치도록 한다.

  1. 1. Bell-LaPadula
  2. 2. Biba
  3. 3. Clark-Wilson
  4. 4. Lattice

  정답 3번

  🔍 보기별 해설

  1. Bell-LaPadula는 군사 환경의 기밀성 모델로 위로 읽지 않고 아래로 쓰지 않는 규칙을 가진다. 무결성 중심의 상업 모델이 아니므로 옳지 않다.
  2. Biba는 무결성을 다루지만 낮은 등급이 높은 등급을 오염시키지 못하게 하는 등급 규칙 모델이다. 직무 분리와 제약 데이터 항목 검증이 없으므로 옳지 않다.
  3. Clark-Wilson은 상업 환경의 무결성 모델로 정형화된 트랜잭션, 직무 분리, 제약 데이터 항목에 대한 무결성 검증 절차를 특징으로 한다. 자료와 일치하므로 옳다(정답).
  4. Lattice 모델은 보안 등급들의 격자 관계로 접근을 정하는 모델이다. 상업 트랜잭션의 직무 분리를 다루지 않으므로 옳지 않다.

  🧮 풀이

  1. 甲은 저녁 복습 시간에 군 정보 등급별로 읽기와 쓰기를 막는 모델을 그렸다. 기밀성이 목표인 Bell-LaPadula임을 확인하고 무결성 문제와 별개라는 점을 상자 옆에 적어 넣었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 Biba의 규칙을 아래로 읽지 않고 위로 쓰지 않는 방식으로 표에 옮겼다. 등급을 근거로 하는 모델이라 직무 분리를 말하는 자료와 맞지 않음을 알고 가위표를 쳤다.
  3. 甲은 은행에서 입금 승인과 기장을 서로 다른 사람이 맡게 한 절차를 보았다. 이 직무 분리가 Clark-Wilson의 특징임을 확인하고 제약 데이터 항목 검증 절차와 함께 요약해 두었다.
  4. 甲은 동료와 함께 문제를 풀어 보다가 격자 모델의 그림에서 등급이 위아래로 이어진 구조를 살폈다. 상업 트랜잭션 처리와 무관하다는 것을 확인하고 Clark-Wilson과 다른 칸에 표시했다.

  상업 환경의 무결성을 위해 직무 분리와 제약 데이터 항목 검증을 쓰는 모델은 Clark-Wilson이다.

• 65

  다음에서 설명하는 정보보호의 목표에 해당하는 것은?

  ○ 정당한 사용자가 정보시스템의 데이터 또는 자원을 필요로 하는 시점에 사용할 수 있는 성질이다.

  ○ 확보 방법으로 데이터 백업, 중복성 유지 등이 있다.

  ○ 위협 요소로는 서비스 거부 공격, 지진, 홍수 등이 있다.

  1. 1. 기밀성
  2. 2. 가용성
  3. 3. 무결성
  4. 4. 책임추적성

  정답 2번

  🔍 보기별 해설

  1. 기밀성은 인가되지 않은 사람에게 정보가 새어 나가지 않게 하는 성질이다. 자원을 필요한 때 쓰는 성질이 아니므로 옳지 않다.
  2. 가용성은 정당한 사용자가 필요한 시점에 데이터와 자원을 쓸 수 있는 성질이다. 백업과 이중화로 확보하고 서비스 거부 공격이나 재해가 위협이므로 옳다(정답).
  3. 무결성은 정보가 허가 없이 바뀌지 않고 정확하게 유지되는 성질이다. 사용 가능 여부가 아니라 변조 여부를 다루므로 옳지 않다.
  4. 책임추적성은 어떤 행위를 누가 했는지 기록하고 추적할 수 있는 성질이다. 필요한 시점에 사용하는 것과 관계가 없으므로 옳지 않다.

  🧮 풀이

  1. 甲은 모의고사를 채점하다가 개인 정보 파일이 외부로 새는 사고를 다룬 기사를 읽었다. 정보가 밖으로 나간 것은 기밀성 문제이고 사용 가능 여부와는 다르다고 표에 나누어 적었다.
  2. 甲은 주말 저녁 집중해서 복습하던 중에 서버가 서비스 거부 공격으로 멈춘 사고 기록을 읽었다. 필요한 시점에 쓸 수 없었으니 가용성이 깨진 것이라 판단하고 백업과 이중화 대책을 옆에 붙여 두었다.
  3. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 계좌 금액이 몰래 바뀐 사례를 보았다. 값이 변조된 것은 무결성 문제이지 사용 가능성 문제가 아니므로 가용성 목록에서 빼고 표시했다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 로그인 기록으로 누가 파일을 지웠는지 추적하는 절차를 그려 보았다. 행위자를 알아내는 성질이라 책임추적성이라 정리하고 가용성과 구분하여 다른 칸에 옮겨 적었다.

  필요한 시점에 사용할 수 있는 성질이며 백업·이중화로 확보하는 정보보호 목표는 가용성이다.

• 66

  「개인정보 보호법」에서 규정하고 있는 개인정보에 해당하지 않는 것은?

  1. 1. 성명
  2. 2. 주민등록번호
  3. 3. 영상 등을 통하여 개인을 알아볼 수 있는 정보
  4. 4. 사망자에 대한 정보

  정답 4번

  🔍 보기별 해설

  1. 성명은 살아 있는 개인을 직접 알아볼 수 있게 하는 대표적인 정보이다. 법이 정한 개인정보에 해당하는 예이므로 개인정보에 해당한다.
  2. 주민등록번호는 특정 개인을 식별하는 고유 번호로 살아 있는 개인에 관한 정보이다. 법이 정한 개인정보에 예에 해당한다.
  3. 얼굴이 찍힌 영상처럼 그 자체로 특정인을 알아볼 수 있는 자료이므로 법이 말하는 개인정보로 다룬다. 개인정보에 해당한다.
  4. 개인정보 보호법은 살아 있는 개인에 관한 정보를 대상으로 하므로 사망자에 대한 정보는 그 자체로 개인정보에 해당하지 않으므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 학생 명부에 적힌 성명 칸을 살폈다. 이름만으로 사람을 알아볼 수 있으므로 개인정보에 해당한다고 보고 관리 대상 표의 첫 줄에 표시했다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 주민등록번호가 적힌 서류를 보관함에 넣기 전에 살펴보았다. 특정 개인을 가리키는 고유 번호라 개인정보로 분류하고 잠금 표시를 붙여 두었다.
  3. 甲은 일요일 오후 스터디 카페에서 방범 카메라 영상 속 얼굴로 누구인지 알 수 있는 경우를 조사했다. 영상도 개인정보라는 조문을 확인하고 영상 보관 기간을 수첩에 써 두었다.
  4. 甲은 모의고사를 채점하다가 고인이 남긴 기록의 성격을 법 조문에서 찾아보았다. 이 법이 살아 있는 개인을 대상으로 한다는 문구를 확인하고 사망자 정보를 개인정보 예 목록에서 지웠다.

  개인정보 보호법의 개인정보는 살아 있는 개인에 관한 정보이므로 사망자 정보는 해당하지 않는다.

• 67

  다음에서 설명하는 기술은?

  ○ 공인 IP 주소가 내부 사설 IP 주소보다 부족한 경우에 적용 가능한 방식이다.

  ○ 내부 사설 IP 주소나 내부 네트워크 대역을 공인 IP로 자동 매핑하는 기능을 제공한다.

  ○ 내부 IP 주소를 외부로부터 보호해 주는 기능을 제공하기도 한다.

  1. 1. ARP
  2. 2. IPS
  3. 3. NAT
  4. 4. VLAN

  정답 3번

  🔍 보기별 해설

  1. ARP는 IP 주소에 대응하는 MAC 주소를 알아내는 프로토콜이다. 사설 IP를 공인 IP로 매핑하는 기능이 없으므로 옳지 않다.
  2. IPS는 네트워크에서 침입을 탐지하고 실시간으로 차단하는 보안 장비이다. 주소 변환 기능이 아니므로 옳지 않다.
  3. NAT는 내부 사설 IP를 공인 IP로 자동 매핑하여 부족한 공인 주소를 나눠 쓰게 한다. 내부 주소를 외부에 감추는 효과도 있으므로 옳다(정답).
  4. VLAN은 물리 망을 논리적으로 나누어 브로드캐스트 영역을 분리하는 기술이다. 주소 변환과 관계가 없으므로 옳지 않다.

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 IP 주소로 MAC 주소를 묻는 ARP 요청 패킷을 캡처해 보았다. 주소 변환이 아니라 주소 조회라는 점을 따져 보고 ARP 옆에 그 뜻을 기록해 두었다.
  2. 甲은 기출 문제집을 처음부터 다시 훑어보다가 침입 차단 장비가 의심 패킷을 막는 로그를 읽었다. 이 기능은 침입 방지이지 주소 변환이 아님을 IPS 곁에 정리하여 옮겨 써 두었다.
  3. 甲은 주말 자습 중에 집 공유기에 연결된 여러 기기가 하나의 공인 IP로 나가는 그림을 그렸다. 사설 주소가 공인 주소로 매핑되어 내부가 숨겨진다는 점을 NAT라고 이름 붙여 표시했다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 부서마다 망을 나누는 설정 화면을 열어 보았다. 이는 논리적 분리인 VLAN의 역할이라 주소 변환과 구분하여 다른 항목으로 정리해 두었다.

  공인 IP 부족을 사설 IP 자동 매핑으로 해결하고 내부 주소를 숨기는 기술은 NAT이다.

• 68

  다음과 같은 과정으로 진행되는 공격은?

  1. 공개키 암호 방법을 사용하는 A와 B의 통신에 C가 개입한다.

  2. C는 A의 공개키를 가로채어 B에게 C의 공개키를 A의 공개키처럼 전송한다.

  3. B는 C의 공개키로 메시지를 암호화하여 A에게 전송한다.

  4. C는 B가 보낸 메시지를 가로채어 C의 개인키로 복호화한다.

  5. C는 복호화한 메시지를 단계 2에서 가로챈 A의 공개키로 암호화하여 A에게 B가 보낸 것처럼 전송한다.

  6. A는 자신의 개인키로 메시지를 복호화한다.

  1. 1. Smurf
  2. 2. 중간자(MITM)
  3. 3. Sniffing
  4. 4. Slowloris

  정답 2번

  🔍 보기별 해설

  1. Smurf는 위조한 출발지 주소로 ICMP 요청을 브로드캐스트하여 피해자에게 응답이 몰리게 하는 서비스 거부 공격이다. 공개키를 바꿔치는 과정이 없으므로 옳지 않다.
  2. C가 A와 B 사이에서 서로에게 자신의 공개키를 건네 메시지를 복호화하고 다시 암호화해 중계한다. 통신 중간에 끼어든 공격이므로 중간자 공격이며 옳다(정답).
  3. Sniffing은 네트워크를 지나가는 패킷을 몰래 들여다보는 수동적 공격이다. 공개키를 바꿔치고 중계하는 적극적 과정이 없으므로 옳지 않다.
  4. Slowloris는 HTTP 요청을 아주 느리게 보내 서버의 연결 자원을 붙잡아 두는 서비스 거부 공격이다. 공개키와 관계가 없으므로 옳지 않다.

  🧮 풀이

  1. 甲은 주말 자습 중에 위조한 주소로 ICMP 응답을 피해자에게 몰리게 하는 Smurf의 그림을 그렸다. 공개키 이야기가 없다는 점을 눈여겨보고 서비스 거부 계열이라는 분류를 붙여 두었다.
  2. 甲은 점심 먹고 남은 시간에 노트북을 열고 A와 B 사이에 C가 앉아 각자에게 자기 공개키를 내미는 여섯 단계를 도표로 옮겼다. 통신 양쪽을 속이며 내용을 엿보는 구조라 이 공격을 중간자라 적었다.
  3. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 스니핑 도구로 공용 와이파이에서 지나가는 패킷을 열어 보았다. 몰래 보기만 할 뿐 키를 바꿔치지 않으므로 중간자와 다른 수동적 공격이라고 표시했다.
  4. 甲은 모의고사 오답을 하나씩 정리하다가 HTTP 요청을 매우 느리게 보내 연결을 붙잡아 두는 실험 결과를 읽었다. 이는 자원 고갈 공격이지 키 바꿔치기가 아니라는 점을 슬로로리스 옆에 메모해 두었다.

  공개키 교환 중간에 끼어 서로에게 자기 공개키를 건네고 메시지를 가로채 중계하는 공격은 중간자 공격이다.

• 69

  (가), (나)에 들어갈 용어를 바르게 연결한 것은?

  공개키 암호 방식으로 송신자가 수신자에게 보낼 평문을 암호화할 때는 (가) 를 사용하고, 송신자가 평문을 전자서명하여 수신자에게 보낼 때는 (나) 를 사용한다. (가) (나)

  1. 1. 송신자의 공개키 송신자의 공개키
  2. 2. 수신자의 공개키 송신자의 공개키
  3. 3. 송신자의 공개키 송신자의 개인키
  4. 4. 수신자의 공개키 송신자의 개인키

  정답 4번

  🔍 보기별 해설

  1. 송신자의 공개키로 암호화하면 그 복호화 열쇠인 송신자의 개인키는 송신자만 가지므로 수신자가 읽을 수 없다. 서명에 송신자의 공개키를 쓰는 것도 누구나 만들 수 있어 옳지 않다.
  2. 수신자의 공개키로 암호화하는 것은 맞지만 서명에 송신자의 공개키를 쓰면 누구나 서명을 만들 수 있어 인증이 되지 않는다. 뒤 칸이 틀렸으므로 옳지 않다.
  3. 송신자의 공개키로 암호화하면 수신자가 복호화할 수 없어 앞 칸이 틀리다. 서명에 송신자의 개인키를 쓰는 것은 맞지만 한 칸이 틀렸으므로 옳지 않다.
  4. 평문의 기밀 전송은 수신자의 공개키로 암호화하여 수신자만 개인키로 풀게 한다. 전자서명은 송신자의 개인키로 만들어 누구나 공개키로 검증하게 하므로 옳다(정답).

  🧮 풀이

  1. 甲은 저녁 복습 시간에 A가 B에게 비밀 메시지를 보낼 때 누구의 열쇠로 잠가야 하는지 따져 보았다. A의 공개키로 잠그면 B가 열 수 없다는 점을 짚어 보고 그 보기 두 칸에 가위표를 쳤다.
  2. 甲은 동료와 함께 문제를 풀어 보다가 서명에 송신자의 공개키를 쓰는 보기를 살폈다. 공개키는 누구나 가진 값이라 서명의 본인 확인 구실을 하지 못한다는 점을 정리하여 뒤 칸 옆에 따로 적었다.
  3. 甲은 기출 해설을 읽다가 앞 칸이 송신자의 공개키인 보기에서 복호화 순서를 그려 보았다. 수신자가 풀 열쇠가 없어 통신이 성립하지 않는다는 점을 확인하고 보기에 밑줄을 그었다.
  4. 甲은 점심 뒤 휴게실에서 암호화 흐름에는 수신자의 공개키를, 서명 흐름에는 송신자의 개인키를 화살표로 이어 그렸다. 두 방향이 서로 다른 열쇠 쌍임을 확인하고 표의 두 칸을 채웠다.

  암호화에는 수신자의 공개키를, 전자서명에는 송신자의 개인키를 쓴다.

• 70

  「개인정보 보호법」 제3조(개인정보 보호 원칙)상 개인정보 보호 원칙으로 옳지 않은 것은?

  1. 1. 개인정보처리자는 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 가명처리가 가능한 경우에는 가명에 의하여, 가명처리로 목적을 달성할 수 없는 경우에는 익명에 의하여 처리될 수 있도록 하여야 한다.
  2. 2. 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.
  3. 3. 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다.
  4. 4. 개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다.

  정답 1번

  🔍 보기별 해설

  1. 법은 익명 처리로 목적을 달성할 수 있으면 익명으로, 익명으로 안 되면 가명으로 처리하도록 한다. 이 보기는 가명과 익명의 순서를 반대로 적었으므로 옳지 않다(정답).
  2. 수집 목적을 분명히 밝히고 그 목적에 꼭 필요한 최소한의 정보만 적법하게 모으라는 것이 원칙이다. 이 원칙이 맞다.
  3. 개인정보처리자는 목적에 필요한 범위에서 정확성, 완전성 및 최신성을 보장해야 한다. 원칙과 일치하므로 원칙이 맞다.
  4. 정보주체의 사생활이 침해되는 정도를 되도록 낮추는 방식으로 처리하라는 것도 법이 요구하는 원칙이다. 이 원칙이 맞다.

  🧮 풀이

  1. 甲은 통계용으로 수집한 명단을 이름을 지운 형태로도 쓸 수 있는지 살폈다. 조문 순서가 익명이 먼저이고 익명이 어려우면 가명이라는 점을 새겨 두고 두 단어를 화살표로 이어 남겨 두었다.
  2. 甲은 주말 저녁 집중해서 복습하던 중에 회원 가입 양식에서 목적과 상관없는 항목을 골라 냈다. 최소한의 정보만 수집해야 한다는 원칙에 따라 필요한 항목만 남기고 나머지에 가위표를 쳤다.
  3. 甲은 기출 문제집을 처음부터 다시 훑어보다가 주소 변경이 반영되지 않은 오래된 명단을 발견했다. 정확성과 최신성을 지켜야 한다는 원칙에 따라 갱신 일정을 정하고 달력에 표시했다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 필요 이상으로 세세한 정보를 묻는 설문을 줄이기로 했다. 사생활 침해를 최소화하라는 원칙을 조문에서 확인하고 꼭 필요하지 않은 문항 세 개를 삭제했다.

  제3조는 익명 처리가 가능하면 익명으로, 익명으로 안 되면 가명으로 처리하라고 한다. 이 순서를 뒤집은 보기가 옳지 않다.

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 71

  스택 오버플로(stack overflow) 공격에 대응하는 방법으로 옳지 않은 것은?

  1. 1. 스택에 저장할 수 있는 데이터의 최대 길이를 지정해야 하는 함수를 사용한다.
  2. 2. 스택에서 코드가 실행되는 것을 허용한다.
  3. 3. 스택 영역을 임의의 메모리 주소에 할당하여 스택 영역의 주소에 대한 추측을 어렵게 한다.
  4. 4. 함수의 종료 연산을 수행하기 전에 카나리(canary) 값의 변경 여부를 검사한다.

  정답 2번

  🔍 보기별 해설

  1. 최대 길이를 지정하는 안전한 함수를 쓰면 입력이 버퍼를 넘치지 않는다. 스택 오버플로를 막는 방법이므로 대응으로 적절하다.
  2. 스택에서 코드가 실행되게 허용하면 공격자가 넣은 셸코드가 그대로 실행된다. 스택 실행을 막아야 하는데 반대로 허용하라 했으므로 옳지 않다(정답).
  3. 스택 위치를 무작위로 배치하는 ASLR은 공격자가 반환 주소를 추측하기 어렵게 만든다. 스택 오버플로를 막는 방법이므로 대응으로 적절하다.
  4. 함수가 끝나기 전에 카나리 값이 바뀌었는지 검사하면 스택이 덮어써진 것을 알아채고 실행을 멈출 수 있다. 스택 오버플로를 막는 방법이므로 대응으로 적절하다.

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 strcpy 대신 길이를 받는 복사 함수를 쓰도록 코드를 고쳤다. 길이를 넘는 입력이 잘려 나가는 것을 확인하고 바꾼 함수 이름을 변경 목록에 적어 놓았다.
  2. 甲은 오답 노트를 정리하다가 스택에 넣은 셸코드가 실행되는 예제를 살폈다. 스택에서 실행을 허용하면 공격이 쉬워진다는 점을 알고 실행 권한을 막아야 한다고 정리해 옮겨 놓았다.
  3. 甲은 모의고사 오답을 하나씩 정리하다가 프로그램을 여러 번 실행하며 스택 주소를 출력해 보았다. 주소가 매번 바뀌어 추측하기 어려운 것을 확인하고 이것이 ASLR이라고 표시했다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 반환 주소 앞에 카나리 값을 두는 그림을 그렸다. 함수 종료 전에 이 값이 바뀌면 덮어쓰기를 알아챈다는 점을 화살표로 나타내 두었다.

  스택에서 코드 실행을 허용하면 오버플로 공격이 쉬워지므로 실행을 막아야 한다(NX).

• 72

  ISMS－P 인증을 위한 정보보호 보호대책 요구사항 중 ‘인증 및 권한관리’ 항목에 해당하지 않는 것은?

  1. 1. 비밀번호 관리
  2. 2. 접근권한 검토
  3. 3. 정보시스템 보호
  4. 4. 특수 계정 및 권한관리

  정답 3번

  🔍 보기별 해설

  1. 비밀번호 관리는 비밀번호 작성 규칙과 관리 절차를 다루는 인증 및 권한관리의 세부 항목이다. 이 분야의 항목에 해당한다.
  2. 접근권한 검토는 인증 및 권한관리에 속하는 항목이다. 부여된 권한이 적절한지 주기적으로 점검하는 일이므로 항목에 해당한다.
  3. 정보시스템 보호는 계정·식별·인증·비밀번호·권한 검토처럼 사용자를 확인하고 권한을 다루는 항목이 아니라 시스템 쪽의 다른 분야이다. 이 항목에 해당하지 않으므로 옳지 않다(정답).
  4. 특수 계정 및 권한관리는 관리자 등 특별 권한 계정을 통제하는 항목으로 인증 및 권한관리에 속한다. 항목에 해당한다.

  🧮 풀이

  1. 甲은 주말 저녁 집중해서 복습하던 중에 ISMS-P 표에서 비밀번호 작성 규칙을 다루는 부분을 찾았다. 인증 및 권한관리 아래에 있음을 확인하고 항목 번호를 옆에 베껴 적었다.
  2. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 퇴직자의 권한이 그대로 남아 있는지 점검하는 절차를 읽었다. 접근권한 검토가 인증 및 권한관리에 속한다는 점을 헤아려 보고 점검 주기를 표시했다.
  3. 甲은 모의고사 오답을 하나씩 정리하다가 정보시스템 보호 항목이 어느 분야 아래에 있는지 목차를 넘겨 보았다. 인증 및 권한관리가 아닌 다른 분야라는 것을 알고 항목을 옮겨 놓았다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 관리자 계정을 따로 관리하는 규정을 읽었다. 특수 계정 및 권한관리가 인증 및 권한관리의 하위 항목임을 확인하고 묶어서 표시했다.

  인증 및 권한관리에는 비밀번호 관리·특수 계정 및 권한관리·접근권한 검토 등이 있고 정보시스템 보호는 다른 분야이다.

• 73

  정보보호 관련 법률과 소관 부처를 잘못 짝지은 것은?

  1. 1. 「개인정보 보호법」 － 개인정보보호위원회
  2. 2. 「위치정보의 보호 및 이용 등에 관한 법률」 － 과학기술정보통신부
  3. 3. 「공공기관의 정보공개에 관한 법률」 － 행정안전부
  4. 4. 「전자서명법」 － 과학기술정보통신부

  정답 2번

  🔍 보기별 해설

  1. 개인정보 보호법을 소관하는 기관은 개인정보보호위원회이다. 법과 소관 기관이 바르게 짝지어져 있으므로 짝이 옳다.
  2. 위치정보법은 과학기술정보통신부 소관이 아니어서 이 짝이 잘못되었다. 위치정보 보호와 이용은 다른 기관이 맡으므로 잘못 짝지은 것으로 옳지 않다(정답).
  3. 공공기관의 정보공개에 관한 법률은 정보공개 제도를 총괄하는 행정안전부 소관이다. 법과 소관 부처가 바르게 짝지어져 있으므로 짝이 옳다.
  4. 전자서명법은 전자서명 제도를 다루는 법으로 과학기술정보통신부 소관이다. 법과 소관 부처가 바르게 짝지어졌으므로 짝이 옳다.

  🧮 풀이

  1. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 개인정보 침해 신고를 어디에 해야 하는지 알아보았다. 개인정보 보호법을 맡는 기관이 개인정보보호위원회임을 확인하고 연락처를 수첩에 적어 넣었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 위치정보 관련 민원의 소관 기관을 조사했다. 과학기술정보통신부 소관이라고 적힌 자료가 없다는 점을 이해하고 그 짝에 가위표를 쳤다.
  3. 甲은 동료와 함께 문제를 풀어 보다가 정보공개 청구서를 내는 부처가 어디인지 살폈다. 정보공개 제도를 총괄하는 곳이 행정안전부임을 확인하고 담당 부서를 옮겨 써 두었다.
  4. 甲은 기출 문제집을 처음부터 다시 훑어보다가 전자서명 인증 제도를 관할하는 부처가 어디인지 조사해 보았다. 과학기술정보통신부 소관이라는 것을 확인하고 짝이 맞는지를 소관 표에 하나씩 표시하고 날짜도 써 두었다.

  위치정보법과 과학기술정보통신부의 짝이 잘못되었고 나머지 세 짝은 맞다.

• 74

  (가), (나)에 들어갈 용어를 바르게 연결한 것은?

  공격자는 웹사이트에서 인증 과정을 거쳐 활성 세션을 가지고 있는 사용자로 하여금 공격자가 만든 악의적인 링크에 접근하게 유도한다. 이 링크를 클릭한 사용자는 자신도 인지하지 못한 채 공격자가 의도한 데이터를 HTTP 몸체(body)에 첨부하여 페이지 내용을 변경하도록 하는 HTTP (가) 요청을 웹사이트로 보낸다. 이와 같은 방식의 공격을 (나) 라고 한다. (가) (나)

  1. 1. GET XSS
  2. 2. GET CSRF
  3. 3. POST XSS
  4. 4. POST CSRF

  정답 4번

  🔍 보기별 해설

  1. GET 요청은 본문에 데이터를 싣지 않고 주소에 매개변수를 붙여 보낸다. 본문 데이터를 첨부한다는 설명과 맞지 않고 XSS도 아니므로 옳지 않다.
  2. CSRF는 맞지만 요청이 HTTP 본문에 데이터를 첨부하는 POST 방식이라고 했으므로 GET이 아니다. 앞 칸이 틀렸으므로 옳지 않다.
  3. POST는 맞지만 XSS는 악성 스크립트를 피해자 브라우저에서 실행시키는 공격이다. 인증된 사용자가 모르는 사이에 요청을 보내는 CSRF가 아니므로 옳지 않다.
  4. 인증된 세션의 사용자가 악의적 링크를 눌러 본문에 데이터가 실린 POST 요청을 자기도 모르게 보낸다. 이런 공격이 CSRF이므로 옳다(정답).

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 주소창에 매개변수가 그대로 붙는 GET 요청을 열어 보았다. 본문에 데이터를 싣는 설명과 다르다는 점을 따져 보고 앞 칸에 가위표를 쳤다.
  2. 甲은 점심 먹고 남은 시간에 노트북을 열고 CSRF 보기에서 GET이 짝지어진 것을 살폈다. 자료가 본문에 데이터를 첨부한다고 언급하니 POST라야 한다는 점을 밑줄로 표시했다.
  3. 甲은 모의고사 오답을 하나씩 정리하다가 XSS와 CSRF를 나란히 놓고 차이를 적어 보았다. XSS는 스크립트를 실행시키고 CSRF는 모르는 요청을 보내게 한다는 점을 따로 적었다.
  4. 甲은 주말 자습 중에 로그인한 상태에서 악의적 링크를 눌렀을 때 비밀번호가 바뀌는 시나리오를 그렸다. 본문이 실린 POST 요청이 자동으로 나가는 CSRF임을 확인하고 표시했다.

  사용자가 링크로 자기도 모르게 요청을 보내게 하는 공격은 POST 방식의 CSRF이다.

• 75

  S/MIME(RFC 8551)의 데이터 콘텐트 유형(data content type) 중 데이터의 기밀성만을 제공하는 것은?

  1. 1. Signed-Data
  2. 2. Enveloped-Data
  3. 3. Auth-Enveloped-Data
  4. 4. Compressed-Data

  정답 2번

  🔍 보기별 해설

  1. Signed-Data는 메시지에 전자서명을 붙여 무결성과 인증을 제공한다. 내용을 감추는 기밀성은 주지 않으므로 옳지 않다.
  2. Enveloped-Data는 세션 키로 내용을 암호화하고 그 키를 수신자의 공개키로 감싸 전달하므로 기밀성만 제공한다. 서명이 없으므로 옳다(정답).
  3. Auth-Enveloped-Data는 인증된 암호화 방식으로 기밀성과 함께 무결성과 인증도 제공한다. 기밀성만이 아니므로 옳지 않다.
  4. Compressed-Data는 내용을 압축하여 크기를 줄이는 유형이다. 내용을 감추는 기밀성은 제공하지 않으므로 옳지 않다.

  🧮 풀이

  1. 甲은 점심 뒤 휴게실에서 서명만 붙은 메일을 열어 내용이 그대로 보이는 것을 확인했다. 서명은 무결성과 인증을 줄 뿐 기밀성이 없다는 점을 Signed-Data 옆에 기록해 두었다.
  2. 甲은 퇴근 뒤 도서관에서 수신자의 공개키로 세션 키를 감싼 메일 구조를 그려 보았다. 내용만 숨기고 서명은 없어 기밀성만 제공한다는 점을 Enveloped-Data라 붙여 표시했다.
  3. 甲은 점심 먹고 남은 시간에 노트북을 열고 인증 기능이 붙은 암호화 유형의 표준 설명서를 읽었다. 암호화와 함께 위·변조 검사도 해 주므로 기밀성만 주는 유형이 아니라는 점을 견주어 두었다.
  4. 甲은 쉬는 시간에 첨부 파일을 압축해 크기를 줄이는 유형을 살폈다. 용량만 줄이고 내용은 그대로 보이므로 기밀성과 무관하다는 점을 Compressed-Data 곁에 메모해 두었다.

  S/MIME에서 기밀성만 제공하는 콘텐트 유형은 Enveloped-Data이다.

• 76

  리눅스 /etc/shadow 파일에 포함되지 않는 것은?

  1. 1. 사용자 계정명
  2. 2. 솔트(salt)
  3. 3. 대칭키 암호 알고리즘의 종류
  4. 4. 기준일(epoch)부터 패스워드가 최종 수정된 날까지의 일수

  정답 3번

  🔍 보기별 해설

  1. shadow 파일의 첫 필드는 어느 계정의 항목인지 나타내는 사용자 계정명이다. 실제로 들어 있는 항목이므로 항목에 해당한다.
  2. 솔트는 해시된 패스워드 필드 안에 알고리즘 표시와 함께 들어 있어 같은 비밀번호도 다른 해시가 되게 한다. 항목에 해당한다.
  3. shadow에는 대칭키 암호 알고리즘의 종류를 적는 칸이 없다. 해시 방식 식별자는 있어도 대칭키 알고리즘과는 다르므로 포함되지 않으므로 옳지 않다(정답).
  4. 기준일인 1970년 1월 1일부터 패스워드가 마지막으로 바뀐 날까지의 일수는 shadow의 한 필드이다. 항목에 해당한다.

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 shadow 파일의 한 줄을 콜론으로 잘라 첫 칸의 계정명을 확인했다. 어느 사용자의 항목인지 알 수 있어서 항목 표의 첫 줄에 옮겨 놓았다.
  2. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 해시 문자열 앞부분이 알고리즘 표시와 솔트로 이루어진 것을 살폈다. 같은 비밀번호도 다른 값이 되는 이유라고 정리해 옆에 남겨 두었다.
  3. 甲은 기출 문제집을 처음부터 다시 훑어보다가 shadow의 아홉 개 필드를 하나씩 세어 보았다. 대칭키 암호 알고리즘 이름이 들어갈 칸이 없다는 점을 눈여겨보고 그 보기에 가위표를 쳤다.
  4. 甲은 주말 저녁 집중해서 복습하던 중에 최종 변경일 필드에 19000대 숫자가 적힌 것을 보았다. 1970년 1월 1일부터의 일수라는 설명을 확인하고 날짜로 바꾸어 계산해 두었다.

  /etc/shadow에는 계정명·해시(솔트 포함)·최종 변경일 등이 있고 대칭키 알고리즘의 종류는 없다.

• 77

  소수 p를 선택하고, 위수가 p－1인 원시근을 사용하는 대신에 p－1의 소인수인 q를 위수로 갖는 원소를 이용해서 서명과 검증에 사용할 키를 생성하는 전자서명 구조는?

  1. 1. RSA
  2. 2. ElGamal
  3. 3. ECDSA
  4. 4. Schnorr

  정답 4번

  🔍 보기별 해설

  1. RSA 서명은 소인수분해의 어려움에 기반하고 이산로그 위수 q를 쓰지 않는다. 설명과 맞지 않으므로 옳지 않다.
  2. ElGamal 서명은 위수가 p-1인 원시근을 사용하는 이산로그 기반 서명이다. 원시근 대신 작은 위수 q를 쓰는 Schnorr와 다르므로 옳지 않다.
  3. ECDSA는 타원곡선 위의 이산로그 문제에 기반한 서명이다. 소수 p와 위수 q를 갖는 원소를 쓰는 구조가 아니므로 옳지 않다.
  4. Schnorr 서명은 p-1의 소인수 q를 위수로 갖는 원소를 써서 서명을 짧고 효율적으로 만든다. 설명과 일치하므로 옳다(정답).

  🧮 풀이

  1. 甲은 주말 저녁 집중해서 복습하던 중에 RSA 서명의 키 생성에서 소인수분해가 쓰인다는 점을 확인했다. 위수 q가 나오지 않으니 설명과 맞지 않다고 보고 그 보기에 가위표를 쳤다.
  2. 甲은 모의고사 오답을 하나씩 정리하다가 ElGamal이 위수 p-1의 원시근을 쓴다는 문장을 찾았다. 자료가 원시근 대신 q를 쓰는 방식이라 했으므로 다르다고 판단하고 비교표에 적어 놓았다.
  3. 甲은 기출 문제집을 처음부터 다시 훑어보다가 타원곡선 서명의 흐름도를 그려 보았다. 정수의 곱셈 군이 아니라 곡선 위의 점을 쓰므로 소수 p와 위수 q 이야기와 다르다고 표시했다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 Schnorr 서명에서 위수 q가 서명 크기를 줄이는 것을 확인했다. 원시근 대신 q를 위수로 갖는 원소를 쓴다는 점을 표에 베껴 적었다.

  p-1의 소인수 q를 위수로 갖는 원소를 쓰는 서명은 Schnorr 서명이다.

• 78

  TLS 핸드셰이크 프로토콜의 목적에 해당하는 것만을 모두 고르면?

  ㄱ. 인증서 확인

  ㄴ. 세션을 활성 상태로 유지

  ㄷ. 세션키 생성 및 교환

  ㄹ. 응용 데이터 전송

  1. 1. ㄱ, ㄷ
  2. 2. ㄱ, ㄹ
  3. 3. ㄴ, ㄷ
  4. 4. ㄴ, ㄹ

  정답 1번

  🔍 보기별 해설

  1. 인증서 확인은 서버를 검증하는 핸드셰이크의 목적이고 세션키 생성 및 교환도 핸드셰이크에서 이루어진다. 두 가지가 모두 핸드셰이크의 목적이므로 이 묶음이 맞다.
  2. 인증서 확인은 핸드셰이크의 목적이지만 응용 데이터 전송은 핸드셰이크가 끝난 뒤 레코드 프로토콜이 맡는다. 응용 데이터가 섞여 있으므로 이 묶음은 옳지 않다.
  3. 세션키 생성 및 교환은 핸드셰이크의 목적이지만 세션을 활성 상태로 유지하는 것은 핸드셰이크의 일이 아니다. 유지가 섞여 있으므로 이 묶음은 옳지 않다.
  4. 세션 유지도 응용 데이터 전송도 핸드셰이크의 일이 아니다. 핸드셰이크의 목적이 하나도 없으므로 이 묶음은 옳지 않다.

  🧮 풀이

  1. 甲은 점심 먹고 남은 시간에 노트북을 열고 TLS 접속 처음에 서버 인증서가 오가는 패킷을 열어 보았다. 이것이 인증서 확인과 키 협상 단계라는 점을 짚어 보고 핸드셰이크 상자에 옮겨 써 두었다.
  2. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 응용 데이터가 오가는 구간을 핸드셰이크와 나누어 그려 보았다. 응용 데이터는 핸드셰이크 뒤에 나온다는 점을 확인하고 화살표를 그렸다.
  3. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 세션 유지 기능이 어느 프로토콜의 일인지 표로 견주었다. 핸드셰이크는 협상까지만 맡는다고 정리하고 세션 유지를 다른 칸에 표시했다.
  4. 甲은 모의고사 오답을 하나씩 정리하다가 세션 유지와 응용 데이터 전송이 함께 있는 보기를 살폈다. 둘 다 핸드셰이크가 아니라 그 뒤의 레코드 단계와 관계가 있음을 알아 그 보기에 가위표를 쳤다.

  TLS 핸드셰이크의 목적은 인증서 확인과 세션 키 생성·교환이다. 정답은 1번.

• 79

  다음 수식으로 표현된 HMAC에 대한 설명으로 옳지 않은 것은? (단, K는 키, M은 메시지, H는 해시 함수, ⊕는 XOR, ||는 연결(concatenation)이다)

  HMAC(K,M) = H((K+⊕opad)||H((K+⊕ipad)||M))

  1. 1. HMAC 구조는 해시 함수 H로 MD5, SHA-1, SHA-512 등 가용한 것을 선택할 수 있도록 되어 있다.
  2. 2. K는 HMAC를 주고받는 사용자가 공유하는 비밀키이다.
  3. 3. K+는 K의 왼쪽에 0을 패딩해서 전체 비트 수가 해시 함수 출력의 크기와 같게 되도록 한 것이다.
  4. 4. ipad와 opad는 각각 16진수 36과 5C가 반복된 것으로, 해시 함수에 입력되는 블록의 크기와 같다.

  정답 3번

  🔍 보기별 해설

  1. HMAC은 H를 블랙박스로 쓰므로 MD5, SHA-1, SHA-512 등 가용한 해시 함수를 골라 쓸 수 있다. 설명이 맞다.
  2. K는 송신자와 수신자만 공유하는 비밀키이다. 이 키가 있어야 메시지 인증 값을 만들고 검증할 수 있으므로 설명이 맞다.
  3. K+는 K의 오른쪽에 0을 채워 해시 함수가 입력받는 블록의 크기 b비트에 맞춘 것이다. 왼쪽에 채우고 해시 출력 크기에 맞춘다는 설명이 틀렸으므로 옳지 않다(정답).
  4. ipad는 16진수 36을, opad는 5C를 블록 크기만큼 반복한 값이다. 해시 함수 입력 블록의 크기와 같으므로 설명이 맞다.

  🧮 풀이

  1. 甲은 기출 문제집을 처음부터 다시 훑어보다가 HMAC 구조에서 해시 함수를 바꾸어 끼울 수 있다는 설명을 읽었다. MD5와 SHA-1 등이 모두 가능하다는 점을 새겨 두고 표에 따로 적었다.
  2. 甲은 주말 저녁 집중해서 복습하던 중에 HMAC에서 키 K가 두 당사자만 아는 값이라는 설명을 읽었다. 제3자는 인증 값을 만들지 못한다는 점을 떠올리고 키 옆에 비밀이라고 적어 넣었다.
  3. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 K+를 만드는 과정을 손으로 그려 보았다. 키의 오른쪽을 0으로 채워 블록 크기에 맞춘다는 점을 헤아려 보고 왼쪽·출력 크기라 적힌 보기를 지웠다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 ipad와 opad가 각각 36과 5C를 반복한 값임을 표로 옮겼다. 반복 횟수가 블록 크기와 같다는 점을 따져 보고 밑줄을 그었다.

  HMAC의 K+는 K를 오른쪽에 0으로 채워 해시 블록 크기 b에 맞춘 것이다. 왼쪽·출력 크기라는 설명이 틀렸다.

• 80

  다음 수식으로 나타낸 블록 암호 운용 모드에 대한 설명으로 옳은 것은?

  P_i : 평문 블록 C_i : 암호문 블록 E_K : 암호화 함수 K : 키 IV : 초기벡터 C_1 = E_K (P_1 OPLUS IV) C_i = E_K (P_i OPLUS C(i-1)), i = 2, 3, ..., N

  1. 1. 복호화 함수를 D_K 이라고 하면, 평문 블록 P_1 = D_K (C_1) OPLUS IV 이고, P_i = D_K (C_i) OPLUS C(i-1) , i = 2, 3, ..., N 이다.
  2. 2. 송신자와 수신자가 공유하는 IV 는 반드시 제3자에게 비밀로 해야 한다.
  3. 3. 암호문 블록 C_j (j = 1, 2, ..., N) 의 전송 도중에 비트 오류가 발생하면, 복호화된 P_j 부터 P_N 까지의 모든 평문 블록에 영향을 미친다.
  4. 4. 여러 평문 블록에 대한 암호화 과정의 병렬처리가 가능하다.

  정답 1번

  🔍 보기별 해설

  1. CBC의 암호화 식을 거꾸로 풀면 P1은 D(C1)에 IV를 XOR하고 Pi는 D(Ci)에 앞 암호문 C(i-1)을 XOR한 값이다. 식과 일치하므로 옳다(정답).
  2. CBC의 IV는 무작위여야 하지만 비밀일 필요는 없고 암호문과 함께 전송해도 된다. 반드시 제3자에게 비밀로 한다는 설명은 틀렸으므로 옳지 않다.
  3. CBC에서 암호문 블록 Cj에 오류가 나면 Pj와 그다음 블록 P(j+1)만 영향을 받는다. PN까지 모두 영향을 준다는 설명은 틀렸으므로 옳지 않다.
  4. CBC는 각 블록의 암호화에 앞 암호문이 필요하므로 암호화는 병렬로 처리할 수 없다. 병렬 처리가 가능하다는 설명은 틀렸으므로 옳지 않다.

  🧮 풀이

  1. 甲은 모의고사 오답을 하나씩 정리하다가 CBC 암호화 식을 거꾸로 적어 P1을 풀어 보았다. D(C1)에 IV를 XOR해야 P1이 나오는 것을 확인하고 식을 공책에 옮겨 놓았다.
  2. 甲은 주말 저녁 집중해서 복습하던 중에 IV가 비밀이어야 하는지 궁금해 표준 문서를 읽었다. IV는 공개되어도 되고 예측 불가능하기만 하면 된다는 점을 눈여겨보고 밑줄을 그었다.
  3. 甲은 기출 문제집을 처음부터 다시 훑어보다가 C2의 한 비트를 바꾸어 복호한 결과를 살폈다. P2가 깨지고 P3의 한 비트만 바뀌는 것을 확인하고 뒤 블록 전체가 아님을 표시했다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 CBC 암호화 순서를 손으로 따라가 보았다. 앞 암호문이 나와야 다음 블록을 만들 수 있어 병렬화가 안 된다는 점을 써 두었다.

  CBC 모드에서 복호는 P1=D(C1)⊕IV, Pi=D(Ci)⊕C(i-1)이다.

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 81

  일방향 해시 함수의 응용으로 적합하지 않은 것은?

  1. 1. 전자서명
  2. 2. 의사난수 생성
  3. 3. 데이터 암복호화
  4. 4. 소프트웨어 변경 검출

  정답 3번

  🔍 보기별 해설

  1. 해시 함수는 임의 길이의 입력을 고정 길이의 값으로 줄여 준다. 전자서명은 긴 메시지의 해시 값에 서명하는 방식이므로 해시 함수를 응용한다. 적합한 응용이므로 적절하다.
  2. 해시 출력은 입력이 조금만 달라져도 크게 달라지는 특성이 있다. 해시 함수의 출력은 예측하기 어려워 의사난수 생성기의 재료로 쓰일 수 있다. 적합한 응용이므로 적절하다.
  3. 일방향 해시는 출력에서 입력을 되돌릴 수 없으므로 암호문을 다시 평문으로 복호화하는 용도에 쓸 수 없다. 데이터 암복호화에는 적절하지 않다(정답).
  4. 소프트웨어의 해시 값을 미리 공개해 두고 다시 계산해 견주면 변경 여부를 알아낼 수 있다. 적합한 응용이므로 적절하다.

  🧮 풀이

  1. 甲은 스터디 시간에 계약서 전체를 그대로 서명하지 않고 해시 값 하나에 서명하는 절차를 그려 보았다. 해시가 서명을 짧고 빠르게 만든다는 점을 확인하고 서명 흐름도 위쪽에 표시했다.
  2. 甲은 퇴근 뒤 도서관에서 해시 출력을 이어 붙여 무작위처럼 보이는 수열을 만드는 예제를 읽었다. 해시가 의사난수 생성의 재료로 쓰인다는 설명을 확인하고 응용 목록에 옮겨 적었다.
  3. 甲은 출근길 지하철에서 파일을 해시한 값에서 원래 파일을 복원할 수 있는지 시험해 보았다. 값만으로는 되돌릴 수 없어 암복호화에 쓸 수 없다는 점을 알고 그 보기에 밑줄을 그었다.
  4. 甲은 모의고사 오답을 하나씩 정리하다가 내려받은 설치 파일의 해시 값을 배포처가 공개한 값과 견주어 보았다. 두 값이 같아 변경이 없다는 것을 확인하고 비교 결과를 공책에 붙여 두었다.

  해시는 되돌릴 수 없는 일방향 함수라 복호화가 필요한 데이터 암복호화에는 쓸 수 없다.

• 82

  RSA 암호 알고리즘에 대한 설명으로 옳지 않은 것은?

  1. 1. 공개키 기반 암호 방식이다.
  2. 2. 개인키는 공개하지 않고 비밀로 유지한다.
  3. 3. 큰 수의 소인수분해가 어렵다는 특성을 이용한다.
  4. 4. 공개키로 암호화한 메시지는 전자서명 기능을 제공한다.

  정답 4번

  🔍 보기별 해설

  1. RSA는 암호화와 복호화에 서로 다른 두 키를 쓰는 알고리즘이다. RSA는 공개키와 개인키를 쌍으로 쓰는 공개키 기반 암호 방식이다. 설명이 맞다.
  2. 개인키를 비밀로 지키는 것이 RSA 안전성의 출발점이다. 개인키는 소유자만 가지고 비밀로 유지해야 하며 공개하면 서명 위조와 복호화가 가능해진다. 설명이 맞다.
  3. RSA 키는 서로 다른 큰 소수 두 개를 곱해 법 n을 만드는 데서 시작한다. RSA의 안전성은 큰 두 소수의 곱을 소인수분해하기 어렵다는 성질에 기대고 있다. 설명이 맞다.
  4. 공개키로 암호화하면 수신자의 개인키로만 풀 수 있어 기밀성이 제공될 뿐 서명이 되지 않는다. 서명은 송신자의 개인키로 만들어야 하므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 출근길 지하철에서 RSA 키 쌍을 만들고 공개키와 개인키 파일을 나란히 열어 보았다. 두 키가 한 쌍으로 만들어진다는 점을 새겨 두고 공개키 기반이라는 설명을 첫 줄에 붙여 두었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 개인키 파일의 접근 권한을 소유자만 읽게 바꾸었다. 개인키가 새면 서명 위조가 가능하다는 설명을 읽고 권한 값을 옆에 적어 두었다.
  3. 甲은 퇴근 뒤 도서관 열람실에서 아주 큰 두 소수의 곱을 소인수분해하려고 시도하는 계산기를 돌려 보았다. 자릿수가 커질수록 시간이 폭증하는 것을 확인하고 그 시간을 표에 옮겨 적었다.
  4. 甲은 쉬는 시간에 공개키로 암호화한 메시지가 서명이 되는지 그림으로 따져 보았다. 누구나 만들 수 있는 암호문이라 서명이 아니라는 점을 이해하고 서명 줄에 개인키를 다시 써 넣었다.

  RSA에서 서명은 개인키로 만들며, 공개키로 암호화한 메시지는 기밀성만 줄 뿐 서명 기능이 아니다.

• 83

  DBMS에서 데이터베이스 객체에 대한 권한 부여를 위해 사용하는 SQL 명령어는?

  1. 1. ALTER
  2. 2. GRANT
  3. 3. INSERT
  4. 4. COMMIT

  정답 2번

  🔍 보기별 해설

  1. DDL은 데이터 정의어로 객체를 만들고 바꾸고 지우는 명령들이다. ALTER는 테이블 구조 같은 객체의 정의를 바꾸는 DDL 명령이다. 권한을 주는 명령이 아니므로 옳지 않다.
  2. GRANT는 사용자에게 테이블이나 뷰 같은 객체에 대한 조회·수정 등의 권한을 부여하는 DCL 명령이다. 설명과 일치하므로 옳다(정답).
  3. DML은 데이터 조작어로 행을 조회하고 삽입하고 수정하고 삭제한다. INSERT는 테이블에 새 행을 삽입하는 DML 명령이다. 권한을 부여하는 명령이 아니므로 옳지 않다.
  4. TCL은 트랜잭션 제어어로 COMMIT과 ROLLBACK이 여기에 든다. COMMIT은 트랜잭션의 변경 내용을 확정하는 TCL 명령이다. 권한을 부여하는 명령이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 모의고사 오답을 하나씩 정리하다가 학생 성적 테이블의 열 이름을 바꾸는 쿼리를 작성했다. 객체 정의를 바꾸는 ALTER이지 권한과는 무관하다는 점을 명령 옆에 적어 두었다.
  2. 甲은 동료와 함께 문제를 풀어 보다가 신입 사원 계정에 성적 테이블 조회만 허용하는 명령을 입력했다. 권한을 주는 명령이 GRANT임을 확인하고 실행 결과를 화면으로 확인했다.
  3. 甲은 점심 먹고 남은 시간에 노트북을 열고 새 학생 한 명의 정보를 넣는 INSERT 문을 실행했다. 데이터를 넣는 DML이라는 점을 헤아려 보고 권한 명령과 다른 줄로 나누어 정리했다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 여러 수정을 한 뒤 COMMIT으로 확정하는 과정을 실행해 보았다. 트랜잭션을 마무리하는 명령이라는 점을 따져 보고 권한 명령과 구분하여 표시했다.

  DBMS에서 객체 권한을 부여하는 SQL 명령은 GRANT이다.

• 84

  SSLv3(Secure Sockets Layer version 3)의 레코드 프로토콜에서 응용 프로그램으로부터 획득한 데이터를 송신하기 위해 수행하는 과정을 순서대로 바르게 나열한 것은?

  1. 1. 압축(옵션) → MAC 추가 → 암호화 → 단편화 → 헤더 추가
  2. 2. 압축(옵션) → 헤더 추가 → 암호화 → 단편화 → MAC 추가
  3. 3. 단편화 → 압축(옵션) → MAC 추가 → 암호화 → 헤더 추가
  4. 4. 단편화 → 암호화 → MAC 추가 → 압축(옵션) → 헤더 추가

  정답 3번

  🔍 보기별 해설

  1. 압축 뒤에 단편화를 하는 순서는 거꾸로다. 응용 데이터를 먼저 단편화하고 나서 각 조각을 압축하므로 옳지 않다.
  2. 헤더 추가를 압축 바로 뒤에 두고 MAC을 맨 끝에 붙이면 안 된다. MAC은 암호화 전에 붙고 헤더는 맨 마지막에 붙으므로 옳지 않다.
  3. 먼저 데이터를 단편화하고 각 조각을 압축한 뒤 MAC을 붙이고 암호화하며 마지막에 헤더를 붙인다. 이 순서가 맞으므로 옳다(정답).
  4. 암호화를 MAC 추가보다 앞에 두고 압축을 뒤로 돌리면 안 된다. MAC을 붙인 뒤 함께 암호화해야 하고 압축은 그보다 앞서므로 옳지 않다.

  🧮 풀이

  1. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 응용 데이터를 16KB 이하 조각으로 나누는 과정을 그려 보았다. 이 조각 나누기가 레코드 처리의 첫 단계임을 확인하고 번호를 붙여 두었다.
  2. 甲은 주말 저녁 집중해서 복습하던 중에 헤더가 마지막에 붙는 이유를 그림으로 따져 보았다. 헤더에는 유형과 길이가 들어가서 암호화 결과가 나온 뒤에 붙는다는 점을 떠올리고 순서를 고쳤다.
  3. 甲은 모의고사 오답을 하나씩 정리하다가 다섯 단계를 카드에 하나씩 적어 순서를 맞춰 보았다. 단편화, 압축, MAC, 암호화, 헤더 순이 맞는 배열임을 확인하고 카드를 나란히 붙여 두었다.
  4. 甲은 일요일 오후 스터디 카페에서 MAC이 암호화보다 뒤에 오는 배열을 그려 보았다. 이 경우 MAC이 암호화되지 않아 무결성 처리가 달라진다는 점을 깨닫고 그 보기에 가위표를 쳤다.

  SSLv3 레코드 프로토콜의 송신 순서는 단편화, 압축(옵션), MAC 추가, 암호화, 헤더 추가이다.

• 85

  조직의 자산 및 정보를 보호하기 위한 정보보호 관리체계의 국제 인증 규격은?

  1. 1. CC
  2. 2. ITSEC
  3. 3. TCSEC
  4. 4. ISO/IEC 27001

  정답 4번

  🔍 보기별 해설

  1. CC는 정보보호 제품의 보안 기능과 보증을 평가하는 국제 공통 평가 기준이다. 조직의 관리체계 인증 규격이 아니므로 옳지 않다.
  2. ITSEC은 유럽에서 만든 정보보호 제품 평가 기준이다. 조직의 관리체계를 인증하는 규격이 아니므로 옳지 않다.
  3. TCSEC은 미국 국방부가 제정한 컴퓨터 시스템 평가 기준이다. 조직의 정보보호 관리체계 국제 인증 규격이 아니므로 옳지 않다.
  4. ISO/IEC 27001은 조직이 정보보호 관리체계를 수립하고 운영하도록 요구하는 국제 인증 규격이다. 설명과 일치하므로 옳다(정답).

  🧮 풀이

  1. 甲은 주말 저녁 집중해서 복습하던 중에 정보보호 제품 평가 자료에서 CC 항목을 찾았다. 제품의 기능과 보증을 평가하는 기준이라는 점을 눈여겨보고 관리체계 인증과는 다른 줄에 적어 두었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 유럽의 평가 기준 ITSEC의 설명을 읽었다. 제품 평가 기준이라는 점을 짚어 보고 조직 인증 규격과 별도로 표에 옮겨 적었다.
  3. 甲은 기출 문제집을 처음부터 다시 훑어보다가 미국의 옛 평가 기준 TCSEC이 컴퓨터 시스템을 평가하는 것임을 확인했다. 조직의 관리체계와 무관하다는 점을 새기고 메모해 두었다.
  4. 甲은 출근길 지하철에서 조직이 관리체계를 수립하고 운영하는 방식을 다룬 국제 규격을 찾아보았다. ISO/IEC 27001이 이 목적의 인증 규격이라는 것을 확인하고 표에 표시했다.

  정보보호 관리체계의 국제 인증 규격은 ISO/IEC 27001이다.

• 86

  시스템 보안에서 사용자와 시스템 사이 또는 두 시스템 사이의 활성화된 접속을 관리하는 것은?

  1. 1. 세션 관리
  2. 2. 권한 관리
  3. 3. 로그 관리
  4. 4. 취약점 관리

  정답 1번

  🔍 보기별 해설

  1. 세션 관리는 로그인한 뒤 사용자와 시스템 사이 또는 두 시스템 사이에 열려 있는 접속을 시작부터 종료까지 관리한다. 설명과 일치하므로 옳다(정답).
  2. 권한 관리는 누구에게 어떤 자원에 접근할 권한을 줄지 정하고 통제한다. 활성화된 접속 자체를 관리하는 것이 아니므로 옳지 않다.
  3. 로그 관리는 시스템에서 발생한 사건 기록을 수집하고 보관하고 분석하는 일이다. 활성 접속을 관리하는 것이 아니므로 옳지 않다.
  4. 취약점 관리는 시스템의 보안 약점을 찾아내고 조치하는 일이다. 활성화된 접속을 관리하는 것이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 출근길 지하철에서 웹 서비스에서 로그인 후 일정 시간이 지나면 접속이 끊기는 설정을 확인했다. 열려 있는 접속을 관리하는 세션 관리라는 것을 알고 만료 시간을 적어 두었다.
  2. 甲은 모의고사 오답을 하나씩 정리하다가 직원마다 열람할 수 있는 폴더를 정하는 표를 만들었다. 무엇에 접근할 수 있는지를 정하는 권한 관리이지 접속 관리가 아님을 다른 칸에 표시했다.
  3. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 서버 접속 기록을 모아 두는 로그 저장소를 살펴보았다. 사건 기록을 다루는 로그 관리라는 점을 확인하고 세션 관리와 구분하여 적었다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 서버의 오래된 패치 목록을 점검했다. 약점을 찾아 조치하는 취약점 관리라는 점을 새겨 두고 활성 접속 관리와 다른 항목으로 정리했다.

  사용자와 시스템 또는 시스템 사이의 활성화된 접속을 관리하는 것은 세션 관리이다.

• 87

  다음 설명에 해당하는 정보보호 위험 분석 방법은?

  정성적 위험 분석 방법으로, 시스템에 관한 전문적인 지식을 가진 전문가의 집단을 구성하고 위험을 분석 및 평가하여 정보시스템이 직면한 다양한 위협과 취약성을 토론을 통해 분석하는 방법이다.

  1. 1. 확률 분포법
  2. 2. 델파이법
  3. 3. 과거 자료 분석법
  4. 4. 수학 공식 접근법

  정답 2번

  🔍 보기별 해설

  1. 확률 분포법은 위험 발생 확률의 분포를 수치로 추정하는 정량적 방법이다. 전문가 토론을 통한 정성적 방법이 아니므로 옳지 않다.
  2. 델파이법은 전문가 집단의 의견을 모으고 조정해 위협과 취약성을 분석하는 정성적 방법이다. 설명과 일치하므로 옳다(정답).
  3. 과거 자료 분석법은 과거의 사고 기록으로 위험을 추정하는 방법이다. 전문가 토론이 아니라 통계 자료에 기대므로 옳지 않다.
  4. 수학 공식 접근법은 자산 가치와 발생 확률 등을 공식에 넣어 계산하는 정량적 방법이다. 전문가 토론이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 점심 먹고 남은 시간에 노트북을 열고 위험 발생 확률을 분포 곡선으로 추정하는 방법을 읽었다. 숫자로 계산하는 정량적 방법이므로 전문가 토론과 다르다고 표에 나누어 적었다.
  2. 甲은 기출 문제집을 처음부터 다시 훑어보다가 여러 전문가가 여러 차례 의견을 모아 위험을 정리하는 델파이법 사례를 읽었다. 판단으로 분석하는 정성적 방법임을 확인하고 이름을 표 위쪽에 표시했다.
  3. 甲은 주말 저녁 집중해서 복습하던 중에 과거 사고 통계로 위험을 추정한 보고서를 훑어보았다. 자료에 기대는 방법이라 전문가 토론과 다르다는 점을 이해하고 그 이름을 옆에 붙여 두었다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 자산 가치와 발생 확률을 곱하는 계산식을 그려 보았다. 수식으로 셈하는 방법이라 정성적 델파이법과 구분하고 정량적이라 표시했다.

  전문가 집단이 토론으로 위협과 취약성을 분석하는 정성적 방법은 델파이법이다.

• 88

  CAPTCHA에 대한 설명으로 옳지 않은 것은?

  1. 1. 컴퓨터와 사람을 구분하기 위한 자동화된 공개 튜링 테스트라 할 수 있다.
  2. 2. 기밀성을 보장하기 위한 암호의 한 형태이다.
  3. 3. 다양한 이미지, 왜곡된 문자, 잡음 섞인 소리를 사용할 수 있다.
  4. 4. 대부분의 사람들이 통과하기에는 쉽지만 컴퓨터가 통과하기에는 불가능하거나 어려워야 한다.

  정답 2번

  🔍 보기별 해설

  1. CAPTCHA는 가입이나 로그인 화면에서 자동 프로그램을 걸러 내는 데 쓰인다. CAPTCHA는 컴퓨터와 사람을 구분하기 위한 자동화된 공개 튜링 테스트를 뜻한다. 설명이 맞다.
  2. CAPTCHA는 사람인지 확인하는 절차이지 정보를 암호화해 기밀성을 지키는 암호가 아니다. 기밀성을 위한 암호의 한 형태라는 설명은 틀렸으므로 옳지 않다(정답).
  3. 자동 입력 프로그램은 이런 문제를 읽어 내기 어렵다는 점을 이용한다. CAPTCHA에는 왜곡된 문자, 그림 선택, 잡음이 섞인 소리 등 여러 형태가 쓰인다. 설명이 맞다.
  4. CAPTCHA는 대부분의 사람은 쉽게 통과하지만 컴퓨터는 통과하기 어렵거나 불가능하도록 설계한다. 설명이 맞다.

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 로그인 화면에서 나온 왜곡된 문자를 입력하며 통과했다. 사람인지 확인하는 튜링 테스트의 뜻을 떠올리고 CAPTCHA의 풀이를 공책에 적어 넣었다.
  2. 甲은 동료와 함께 문제를 풀어 보다가 CAPTCHA가 암호 알고리즘인지 궁금해 설명서를 읽었다. 정보를 암호화하는 기술이 아니라 자동 입력을 막는 절차라는 점을 헤아려 보고 암호 항목에서 지웠다.
  3. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 그림에서 신호등을 고르라는 인증과 소리 인증을 번갈아 시험했다. 여러 형태를 쓴다는 점을 따져 보고 형태를 한 줄씩 써 두었다.
  4. 甲은 기출 문제집을 처음부터 다시 훑어보다가 자동 프로그램이 이 문제를 풀지 못하는 이유를 읽었다. 사람에게는 쉽고 컴퓨터에는 어려워야 한다는 설계 원칙을 확인하고 밑줄을 그었다.

  CAPTCHA는 사람과 컴퓨터를 구분하는 튜링 테스트이며 기밀성을 위한 암호가 아니다.

• 89

  다음 설명에 해당하는 보안 솔루션은?

  IP 관리 시스템에서 발전한 것으로, MAC 주소를 기반으로 접근 제어 및 인증을 수행하여, 보안 정책에 부합되는 단말기에만 네트워크 자원의 이용을 허용한다.

  1. 1. NAC
  2. 2. DLP
  3. 3. VPN
  4. 4. PIMS

  정답 1번

  🔍 보기별 해설

  1. NAC은 네트워크에 접속하려는 단말의 MAC 주소 등을 확인해 접근 제어와 인증을 수행하고 보안 정책에 맞는 단말에만 자원 이용을 허용한다. 설명과 일치하므로 옳다(정답).
  2. DLP는 조직 내부의 중요 정보가 외부로 유출되는 것을 탐지하고 차단하는 솔루션이다. 단말 접속을 통제하는 솔루션이 아니므로 옳지 않다.
  3. VPN은 공중망에서 암호화 터널을 만들어 사설망처럼 안전하게 통신하게 하는 기술이다. 단말 접속 통제가 아니므로 옳지 않다.
  4. PIMS는 개인정보 보호 관리체계를 인증하는 제도이다. 단말 접속을 통제하는 보안 솔루션이 아니므로 옳지 않다.

  🧮 풀이

  1. 甲은 주말 저녁 집중해서 복습하던 중에 등록되지 않은 노트북을 사내 망에 꽂았을 때 접속이 막히는 것을 보았다. 단말을 확인해 정책에 맞는 것만 허용하는 NAC라는 점을 알고 화면을 남겨 두었다.
  2. 甲은 동료와 함께 문제를 풀어 보다가 문서가 외부 메일로 나가는 것을 막는 화면을 읽었다. 정보 유출을 막는 DLP의 일이라 단말 접속 통제와 구분하여 다른 칸에 옮겨 적었다.
  3. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 집에서 회사망에 접속할 때 쓰는 암호화 터널을 그려 보았다. 통신을 안전하게 하는 VPN의 역할이라 단말 통제와 구분하여 표시했다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 PIMS 인증 체계의 자료를 읽었다. 개인정보 보호 관리체계 인증 제도이지 접속 통제 솔루션이 아님을 확인하고 정리표에 적었다.

  MAC 주소 기반으로 접근 제어와 인증을 하여 정책에 맞는 단말만 네트워크를 쓰게 하는 솔루션은 NAC이다.

• 90

  SSH 프로토콜(RFC 4251)의 구성요소에 해당하지 않는 것은?

  1. 1. 핸드셰이크(Handshake) 프로토콜
  2. 2. 사용자 인증(User Authentication) 프로토콜
  3. 3. 전송 계층(Transport Layer) 프로토콜
  4. 4. 연결(Connection) 프로토콜

  정답 1번

  🔍 보기별 해설

  1. 핸드셰이크 프로토콜은 SSL/TLS의 구성요소이고 SSH의 구성요소가 아니다. 이름을 혼동시킨 보기이므로 옳지 않다(정답).
  2. SSH는 원격 접속을 안전하게 하려고 만든 프로토콜이다. 사용자 인증 프로토콜은 SSH가 서버에 접속하는 사용자를 확인하는 구성요소이다. SSH의 구성요소에 해당한다.
  3. 전송 계층 프로토콜은 서버 인증과 암호화 등 기본 보안을 제공하는 SSH의 구성요소에 해당한다. SSH의 구성요소에 해당한다.
  4. SSH는 세 개의 프로토콜이 층을 이루어 동작한다. 연결 프로토콜은 암호화된 터널 위에 여러 논리 채널을 다중화하는 SSH의 구성요소에 해당한다. SSH의 구성요소에 해당한다.

  🧮 풀이

  1. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 SSH 표준의 구성 그림을 펼쳐 보았다. 핸드셰이크라는 이름이 없고 TLS에서 쓰이는 용어라는 점을 깨닫고 그 이름을 지웠다.
  2. 甲은 기출 문제집을 처음부터 다시 훑어보다가 SSH 서버에 접속하며 비밀번호를 묻는 단계를 살폈다. 사용자 인증 프로토콜이 하는 일이라는 점을 눈여겨보고 단계 이름을 옮겨 써 두었다.
  3. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 SSH가 서버 인증과 암호화를 제공하는 층이 어디인지 찾아보았다. 전송 계층 프로토콜이라는 점을 짚어 보고 층 이름을 표시했다.
  4. 甲은 동료와 함께 문제를 풀어 보다가 한 SSH 연결에서 셸과 파일 전송이 동시에 열리는 것을 보았다. 채널을 다중화하는 연결 프로토콜의 일이라고 정리하고 화살표를 그려 넣었다.

  SSH의 구성요소는 전송 계층, 사용자 인증, 연결 프로토콜이며 핸드셰이크 프로토콜은 SSL/TLS의 것이다.

• 9급 전산개발 기출 100문항 · 자동복습과 예상점수까지 무료로 →
• 91

  「(대검찰청) 디지털 증거의 수집ㆍ분석 및 관리 규정」상 전자정보 압수ㆍ수색ㆍ검증의 기본원칙이 아닌 것은?

  1. 1. 적법절차의 준수
  2. 2. 디지털 증거의 신뢰성 유지
  3. 3. 디지털 증거의 기밀성 유지
  4. 4. 디지털 증거의 원본성 유지

  정답 3번

  🔍 보기별 해설

  1. 이 규정은 디지털 증거를 다루는 대검찰청의 예규이다. 적법절차의 준수는 이 규정이 정한 전자정보 압수·수색·검증의 기본원칙에 해당한다. 규정에 있으므로 기본원칙에 해당한다.
  2. 디지털 증거의 신뢰성 유지는 신뢰할 수 있는 도구와 방법으로 다루라는 기본원칙에 해당한다. 규정에 있으므로 기본원칙에 해당한다.
  3. 기밀성 유지는 규정의 기본원칙으로 나열되지 않는다. 규정이 제시하는 것은 적법절차, 원본성, 무결성, 신뢰성이므로 기본원칙이 아니다(정답).
  4. 디지털 증거의 원본성 유지는 원본과의 동일성을 재현하거나 검증하는 데 지장이 없도록 다루라는 기본원칙에 해당한다. 규정에 있으므로 기본원칙에 해당한다.

  🧮 풀이

  1. 甲은 점심 먹고 남은 시간에 노트북을 열고 영장 범위를 벗어난 파일을 열지 않고 절차를 지키는 사례를 읽었다. 이것이 적법절차의 준수 원칙이라고 확인하고 규정 목차에 표시했다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 검증된 도구로 이미지를 뜨는 절차를 살폈다. 신뢰할 수 있는 도구와 방법을 쓰라는 신뢰성 유지 원칙임을 알고 도구 이름을 기록해 두었다.
  3. 甲은 주말 저녁 집중해서 복습하던 중에 기본원칙 목록을 읽어 기밀성이 들어 있는지 찾아보았다. 적법절차와 원본성, 무결성, 신뢰성만 있고 기밀성은 없다는 점을 확인하고 그 보기에 가위표를 쳤다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 원본과 복사본이 같음을 입증하는 절차를 그려 보았다. 원본성 유지라는 원칙이 여기에 해당함을 확인하고 해시 값을 나란히 메모해 두었다.

  적법절차·신뢰성·원본성(과 무결성)은 기본원칙이지만 디지털 증거의 기밀성 유지는 기본원칙이 아니다.

• 92

  국내 정보보호 관리체계(ISMS)에서 ‘관리체계 수립 및 운영’의 PDCA 사이클을 바르게 나열한 것은?

  (가) 위험관리 (나) 관리체계 운영 (다) 관리체계 기반 마련 (라) 관리체계 점검 및 개선 P D C A

  1. 1. (가) → (나) → (라) → (다)
  2. 2. (가) → (다) → (나) → (라)
  3. 3. (다) → (가) → (나) → (라)
  4. 4. (다) → (나) → (가) → (라)

  정답 3번

  🔍 보기별 해설

  1. 기반 마련이 맨 뒤로 가면 안 된다. 관리체계 기반 마련이 가장 먼저 이루어져야 위험관리와 운영이 가능하므로 옳지 않다.
  2. 위험관리를 기반 마련보다 앞에 두면 범위와 조직이 정해지지 않은 채 위험을 평가하는 셈이 된다. 기반 마련이 먼저이므로 옳지 않다.
  3. 관리체계 기반 마련, 위험관리, 관리체계 운영, 관리체계 점검 및 개선의 순서가 PDCA에 맞다. 이 순서가 맞으므로 옳다(정답).
  4. 운영을 위험관리보다 앞에 두면 어떤 위험에 어떤 대책을 운영할지 정해지지 않는다. 위험관리가 운영보다 먼저이므로 옳지 않다.

  🧮 풀이

  1. 甲은 주말 저녁 집중해서 복습하던 중에 위험관리가 제일 먼저 오는 순서를 살폈다. 범위와 조직이 정해지지 않았는데 위험부터 다룰 수 없다는 점을 새기고 기반 마련을 맨 앞으로 옮겼다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 기반 마련이 마지막에 놓인 순서를 그려 보았다. 준비 단계가 뒤에 오는 것은 이치에 맞지 않아 그 보기에 가위표를 쳤다.
  3. 甲은 퇴근 뒤 도서관에서 네 단계를 카드에 적어 PDCA 순서로 나열해 보았다. 기반 마련, 위험관리, 운영, 점검 및 개선 순으로 맞아떨어지는 것을 확인하고 카드를 붙여 두었다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 운영이 위험관리보다 앞선 배열을 그렸다. 위험을 먼저 정해야 운영할 대책이 정해진다는 흐름을 알고 두 카드를 서로 바꾸어 놓았다.

  ISMS 관리체계 수립 및 운영의 순서는 기반 마련, 위험관리, 운영, 점검 및 개선이다.

• 93

  다음 설명에 해당하는 DoS/DDoS 공격기법은?

  순서 번호에 오류가 있게 조작된 IP 패킷 조각(fragments)을 전송하여, 이 패킷 조각을 전달받은 시스템의 IP 패킷 재조합 과정에서 오류가 발생되도록 하는 공격기법

  1. 1. Smurf
  2. 2. Teardrop
  3. 3. ICMP Flooding
  4. 4. Buffer Overflow

  정답 2번

  🔍 보기별 해설

  1. Smurf는 위조한 출발지 주소로 ICMP 요청을 브로드캐스트해 피해자에게 응답이 몰리게 한다. 조각 재조합 오류를 노리지 않으므로 옳지 않다.
  2. Teardrop은 오프셋이 겹치거나 어긋난 IP 조각을 보내 수신 시스템의 재조합 과정에서 오류를 일으킨다. 설명과 일치하므로 옳다(정답).
  3. ICMP Flooding은 ICMP 패킷을 대량으로 보내 대역폭이나 자원을 소진시킨다. 조각의 순서를 조작하지 않으므로 옳지 않다.
  4. Buffer Overflow는 입력이 버퍼 크기를 넘게 하여 제어를 탈취하는 공격이다. IP 조각 재조합과 관계가 없으므로 옳지 않다.

  🧮 풀이

  1. 甲은 점심 먹고 남은 시간에 노트북을 열고 위조 주소로 응답이 피해자에게 몰리는 Smurf의 구조를 그렸다. 조각 재조합이 아니라 증폭이라는 점을 새겨 두고 다른 칸에 따로 적었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 IP 조각의 오프셋이 겹치도록 조작한 패킷 그림을 그려 보았다. 재조합 과정에서 오류가 나는 Teardrop이라는 점을 헤아려 보고 이름을 붙여 두었다.
  3. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 ICMP 요청을 쉬지 않고 보내는 실험을 관찰했다. 대역폭을 소진시키는 공격이라 조각 순서 조작과 다르다는 점을 표로 정리했다.
  4. 甲은 퇴근 뒤 도서관 열람실에서 입력이 버퍼 크기를 넘어 인접한 메모리를 덮어쓰는 예제를 읽었다. 제어를 빼앗는 공격이라 IP 조각과 관계가 없다는 점을 따져 보고 구분해 표시했다.

  순서 번호가 어긋난 IP 조각을 보내 재조합에서 오류를 내는 DoS 공격은 Teardrop이다.

• 94

  복호화 과정이 다음 그림에 해당하는 블록 암호 운영 모드는?

  1. 1. ECB(Electronic CodeBook)
  2. 2. CBC(Cipher Block Chaining)
  3. 3. CFB(Cipher FeedBack)
  4. 4. CTR(CounTeR)

  정답 2번

  🔍 보기별 해설

  1. ECB의 복호화는 블록마다 독립적으로 복호할 뿐 IV나 앞 암호문과 XOR하지 않는다. 그림에는 XOR가 있으므로 옳지 않다.
  2. 그림에서는 각 블록을 복호화한 결과에 첫 블록은 IV를, 뒤 블록은 앞 암호문 블록을 XOR하여 평문을 얻는다. 이것이 CBC의 복호화이므로 옳다(정답).
  3. CFB의 복호화는 앞 암호문을 복호화기가 아닌 암호화기에 넣어 나온 값을 암호문과 XOR한다. 그림처럼 복호화 상자를 쓰지 않으므로 옳지 않다.
  4. CTR은 카운터 값을 암호화한 결과를 암호문과 XOR하는 방식이다. 그림처럼 복호화 상자와 앞 암호문의 XOR가 없으므로 옳지 않다.

  🧮 풀이

  1. 甲은 주말 저녁 집중해서 복습하던 중에 그림에서 복호화 상자 뒤에 XOR가 붙는 것을 확인했다. ECB는 XOR 없이 복호화만 하므로 다르다고 판단하고 ECB 보기에 가위표를 쳤다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 그림의 화살표를 따라 C1이 복호된 뒤 IV와 XOR되고 C1이 두 번째 XOR로 넘어가는 것을 짚었다. 이 흐름이 CBC라는 점을 눈여겨보고 이름을 옆에 적었다.
  3. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 CFB의 복호 흐름을 그려 보았다. 복호화 상자가 아니라 암호화 상자를 쓴다는 점이 그림과 다르다고 판단하고 표시했다.
  4. 甲은 기출 문제집을 처음부터 다시 훑어보다가 CTR 복호가 카운터를 암호화하는 방식임을 표로 정리했다. 그림의 앞 암호문 XOR가 CTR에 없다는 점을 이해하고 그 보기를 배제했다.

  복호화 그림에서 C1은 복호 뒤 IV와, 이후 Ci는 복호 뒤 앞 암호문 C(i-1)과 XOR하므로 CBC이다.

• 95

  RSA 암호 알고리즘은 키를 생성하는 과정에서 법(modulus) 연산의 곱셈에 대한 역원(multiplicative inverse)을 찾아야 한다. 법 26에 관한 완전잉여계 집합 Z26 ＝ 0, 1, …, 25에 속한 원소 중에서 곱셈에 대한 역원이 존재하지 않는 것은?

  1. 1. 7
  2. 2. 11
  3. 3. 13
  4. 4. 23

  정답 3번

  🔍 보기별 해설

  1. 곱셈 역원은 곱해서 법 26에서 1이 되는 수를 뜻한다. 7과 26은 서로소이다. 7×15=105=4×26+1이므로 역원이 존재하여 역원이 없는 원소가 아니다.
  2. 곱셈 역원은 곱해서 법 26에서 1이 되는 수를 뜻한다. 11과 26은 서로소이다. 11×19=209=8×26+1이므로 역원이 존재하여 역원이 없는 원소가 아니다.
  3. 13은 26과 최대공약수가 13이라 서로소가 아니다. 13에 어떤 정수를 곱해도 26으로 나눈 나머지가 1이 될 수 없어 역원이 없는 원소에 해당한다(정답).
  4. 곱셈 역원은 곱해서 법 26에서 1이 되는 수를 뜻한다. 23과 26은 서로소이다. 23×17=391=15×26+1이므로 역원이 존재하여 역원이 없는 원소가 아니다.

  🧮 풀이

  1. 甲은 점심 먹고 남은 시간에 노트북을 열고 7과 26의 최대공약수를 구해 1임을 확인했다. 7에 15를 곱하면 105로 26으로 나눈 나머지가 1이라는 것을 계산해 옆에 남겨 두었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 11과 19를 곱해 209가 나오는 것을 계산했다. 26의 8배에 1을 더한 값이라 서로 역원임을 확인하고 식을 옮겨 놓았다.
  3. 甲은 모의고사 오답을 하나씩 정리하다가 13에 1부터 25까지 곱해 26으로 나눈 나머지를 표로 만들어 보았다. 나머지가 0 또는 13뿐이라 1이 나오지 않음을 확인하고 밑줄을 그었다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 23과 17을 곱해 391이 나오는 것을 계산했다. 26의 15배에 1을 더한 값이라 역원이 있음을 알고 다른 보기와 나란히 표시했다.

  법 26에서 곱셈 역원은 26과 서로소인 원소에만 있으므로 26과 공약수 13을 갖는 13에는 역원이 없다.

• 96

  ISMS-P의 ‘보호대책 요구사항’ 분야에 해당하지 않는 것은?

  1. 1. 정보주체 권리보호
  2. 2. 재해 복구
  3. 3. 외부자 보안
  4. 4. 정책, 조직, 자산 관리

  정답 1번

  🔍 보기별 해설

  1. 정보주체 권리보호는 보호대책 요구사항이 아니라 개인정보 처리단계별 요구사항 분야에 속한다. 보호대책 요구사항 분야에 해당하지 않으므로 옳지 않다(정답).
  2. 재해 복구는 보호대책 요구사항의 분야로 재해 상황에서 서비스를 복구하는 대책이다. 보호대책 요구사항 분야에 해당한다.
  3. 외부자 보안은 보호대책 요구사항의 분야로 위탁과 외부 인력 등에 대한 보안 대책이다. 보호대책 요구사항 분야에 해당한다.
  4. ISMS-P 인증 기준은 관리체계 수립 및 운영, 보호대책 요구사항 등으로 나뉜다. 정책, 조직, 자산 관리는 보호대책 요구사항의 첫 분야이다. 보호대책 요구사항 분야에 해당한다.

  🧮 풀이

  1. 甲은 동료와 함께 문제를 풀어 보다가 ISMS-P 항목표에서 정보주체 권리보호가 어느 분야에 있는지 찾았다. 개인정보 처리단계별 분야라는 점을 짚어 보고 보호대책 분야에서 지웠다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 재해 복구 항목이 어느 분야에 있는지 목차를 살폈다. 보호대책 요구사항의 한 분야라는 점을 확인하고 표에 베껴 적었다.
  3. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 외주 업체 직원의 접근을 다루는 항목을 찾아보았다. 외부자 보안이 보호대책 요구사항에 속함을 확인하고 분야 번호를 적어 놓았다.
  4. 甲은 주말 저녁 집중해서 복습하던 중에 정책, 조직, 자산 관리가 보호대책 요구사항 분야의 맨 앞에 놓이는지 목차에서 살펴보았다. 첫 분야라는 점을 새겨 두고 그 이름을 표의 맨 윗줄에 옮겨 써 두었다.

  ISMS-P의 정보주체 권리보호는 개인정보 처리단계별 요구사항 분야이며 보호대책 요구사항 분야가 아니다.

• 97

  (가), (나)에 들어갈 용어를 바르게 연결한 것은?

  IPSec(RFC 2401)에서 (가) 는 기밀성(confidentiality), 데이터 발신 인증(data origin authentication), 비연결 무결성(connectionless integrity) 등을 제공하는 프로토콜이다. 이 프로토콜은 기밀성을 제공하기 위해 (나) 암호 알고리즘을 사용하여 데이터를 암호화한다. (가) (나)

  1. 1. AH 공개키
  2. 2. AH 대칭키
  3. 3. ESP 공개키
  4. 4. ESP 대칭키

  정답 4번

  🔍 보기별 해설

  1. AH는 무결성과 발신 인증을 제공하지만 기밀성은 제공하지 않는다. 기밀성을 제공하는 프로토콜이 아니고 공개키도 아니므로 옳지 않다.
  2. AH와 ESP는 IPSec이 제공하는 두 가지 보안 프로토콜이다. AH는 암호화를 하지 않아 기밀성을 제공하지 못한다. 앞 칸이 틀렸으므로 옳지 않다.
  3. IPSec에서 ESP는 기밀성을, AH는 무결성과 인증을 맡는다. ESP는 맞지만 대량 데이터를 공개키로 암호화하지 않는다. 뒤 칸이 틀렸으므로 옳지 않다.
  4. ESP는 기밀성, 발신 인증, 비연결 무결성을 제공하며 데이터 암호화에는 속도가 빠른 대칭키 알고리즘을 쓴다. 설명과 일치하므로 옳다(정답).

  🧮 풀이

  1. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 AH 헤더의 필드를 살펴보았다. 암호화 필드가 없어 기밀성을 주지 못한다는 점을 헤아려 보고 공개키가 아님을 표시했다.
  2. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 AH로 보낸 패킷의 본문이 그대로 보이는 화면을 읽었다. 무결성만 있고 기밀성이 없다는 점을 따져 보고 AH 옆에 적어 넣었다.
  3. 甲은 점심 먹고 남은 시간에 노트북을 열고 ESP가 페이로드를 어떤 종류의 알고리즘으로 암호화하는지 찾아보았다. 공개키가 아니라 대칭키를 쓴다는 점을 떠올리고 뒤 칸을 고쳐 적었다.
  4. 甲은 동료와 함께 문제를 풀어 보다가 ESP 패킷 구조를 그려 페이로드가 암호화되는 부분을 표시했다. 속도가 빠른 대칭키 알고리즘이 쓰인다는 점을 눈여겨보고 이름을 붙여 두었다.

  IPSec에서 기밀성·발신 인증·비연결 무결성을 제공하는 것은 ESP이며 대칭키 암호로 데이터를 암호화한다.

• 98

  「개인정보 보호법」상 개인정보 보호위원회의 위원 자격 요건에 해당하지 않는 사람은?

  1. 1. 공공기관 또는 단체로부터 추천받은 사람으로서 개인정보 보호 업무를 3년 이상 담당하였던 사람
  2. 2. 개인정보 보호 업무를 담당하는 3급 이상 공무원의 직에 있었던 사람
  3. 3. 판사ㆍ검사ㆍ변호사의 직에 10년 이상 있었던 사람
  4. 4. 대학 부교수 이상으로 3년 이상 재직하였던 사람

  정답 4번

  🔍 보기별 해설

  1. 단체나 공공기관의 추천을 받아 개인정보 보호 업무를 3년 넘게 맡아 온 사람은 위원이 될 수 있다. 요건에 해당한다.
  2. 개인정보 보호 업무를 담당하는 3급 이상 공무원의 직에 있었던 사람은 위원 자격 요건에 해당한다. 요건에 해당한다.
  3. 보호위원회의 위원은 개인정보 보호에 경력과 전문지식이 풍부한 사람이어야 한다. 판사·검사·변호사의 직에 10년 이상 있었던 사람은 위원 자격 요건에 해당한다. 요건에 해당한다.
  4. 대학 부교수 이상으로 재직한 기간의 요건은 3년이 아니라 5년 이상이다. 3년 이상 재직으로는 요건을 채우지 못하므로 해당하지 않는다(정답).

  🧮 풀이

  1. 甲은 주말 저녁 집중해서 복습하던 중에 단체가 추천한 인사가 보호 업무를 몇 해 맡았는지 경력 서류에서 확인했다. 조문의 연수 요건과 맞는지 견주어 보고 자격 표의 첫 줄에 적었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 3급 이상 공무원 경력이 위원 자격이 되는지 조문을 읽었다. 개인정보 보호 업무 담당이라는 조건을 붙여 표에 따로 적었다.
  3. 甲은 점심 먹고 남은 시간에 노트북을 열고 판사·검사·변호사 경력이 10년 이상이어야 한다는 조문의 문구를 확인했다. 요건에 나오는 연수를 자격 표의 세 번째 줄에 함께 옮겨 놓았다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 부교수 이상 재직 기간을 조문에서 찾아보았다. 3년이 아니라 5년이라는 점을 짚어 보고 보기에서 3년에 가위표를 쳤다.

  위원 자격 가운데 부교수 이상 재직은 3년이 아니라 5년 이상이므로 3년이라 한 보기가 옳지 않다.

• 99

  「개인정보 보호법」상 정보주체의 개인정보 열람 요구 시에, 개인정보처리자가 정보주체에게 그 사유를 알리고 열람을 제한하거나 거절할 수 있는 경우가 아닌 것은?

  1. 1. 법률에 따라 열람이 금지되거나 제한되는 경우
  2. 2. 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
  3. 3. 공공기관이 조세의 부과ㆍ징수 또는 환급에 관한 업무를 수행할 때 중대한 지장을 초래하는 경우
  4. 4. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우

  정답 4번

  🔍 보기별 해설

  1. 다른 법률에서 열람을 금지하거나 제한하는 경우에는 개인정보처리자가 이유를 알리고 열람을 제한하거나 거절할 수 있다. 사유에 해당한다.
  2. 타인의 생명·신체가 위험해지거나 남의 재산 같은 이익이 부당하게 침해될 수 있다면 열람을 막을 수 있다. 사유에 해당한다.
  3. 세금을 매기고 거두거나 돌려주는 공공기관의 업무에 열람이 큰 방해가 된다면 정보를 내주지 않아도 된다. 사유에 해당한다.
  4. 수집 단계에서 정당한 이익을 근거로 삼는 규정이 있을 뿐 열람 요구를 거절하는 사유로 정한 것은 아니다. 열람 제한 사유가 아니므로 옳지 않다(정답).

  🧮 풀이

  1. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 법률에 따라 열람이 금지된 자료가 있는지 조문을 찾아보았다. 이 경우 사유를 알리고 거절할 수 있다는 점을 표에 베껴 적었다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 열람으로 타인의 이익이 부당하게 침해될 우려가 있는 사례를 읽었다. 제한 사유에 해당한다는 점을 확인하고 표에 표시했다.
  3. 甲은 기출 문제집을 처음부터 다시 훑어보다가 세무 업무에 중대한 지장을 주는 열람 요구의 사례를 읽었다. 조세 업무가 열람 제한 사유로 규정된 점을 새겨 두고 해당 조문에 밑줄을 그어 두었다.
  4. 甲은 동료와 함께 문제를 풀어 보다가 정당한 이익이 우선하는 경우가 어느 조문에 나오는지 찾아보았다. 열람 제한이 아니라 수집 근거 조문임을 확인하고 그 보기에 가위표를 쳤다.

  정당한 이익이 우선하는 경우는 수집 근거이지 열람 제한·거절 사유가 아니다.

• 100

  「보안관제 전문기업 지정 등에 관한 공고」상 보안관제 전문기업 지정기준으로 옳지 않은 것은?

  1. 1. 법인 설립 이후 5년 이상일 것
  2. 2. 자기 자본이 20억원 이상일 것
  3. 3. 보안관제 수행능력 평가기준에 따라 실시한 심사에서 70점 이상을 받을 것
  4. 4. 자격기준을 갖춘 기술인력을 15명 이상 보유할 것(고급기술자 3명 이상, 중급기술자 6명 이상을 포함하여야 한다)

  정답 1번

  🔍 보기별 해설

  1. 법인 설립 이후 5년 이상이라는 요건은 지정기준으로 제시된 자본, 심사 점수, 기술인력 요건과 다르다. 지정기준으로 옳지 않다(정답).
  2. 보안관제 전문기업은 지정 공고가 정한 기준에 따라 지정한다. 자본 총계 20억원 이상은 지정기준으로 확인되는 자본 요건이다. 지정기준으로 옳다.
  3. 보안관제 수행능력 평가기준에 따른 심사에서 70점 이상을 받아야 한다는 요건은 지정기준으로 확인된다. 지정기준으로 옳다.
  4. 자격기준을 갖춘 기술인력 15명 이상을 보유하되 고급기술자 3명 이상, 중급기술자 6명 이상을 포함해야 한다는 요건은 지정기준으로 확인된다. 지정기준으로 옳다.

  🧮 풀이

  1. 甲은 스터디 시간에 보안관제 전문기업 지정 신청서의 요건란을 살폈다. 설립 후 5년이라는 요건은 자본이나 점수 인력 요건과 함께 나열되지 않는다는 점을 깨닫고 그 보기에 가위표를 쳤다.
  2. 甲은 퇴근 뒤 도서관 열람실에서 기출 해설을 소리 내어 읽다가 신청 기업의 재무제표에서 자본 총계를 확인했다. 20억원 이상이라는 기준과 견주어 요건 표에 옮겨 써 두었다.
  3. 甲은 점심 먹고 남은 시간에 노트북을 열고 보안관제 수행능력 심사에서 받아야 하는 점수가 70점 이상이라는 문구를 확인했다. 신청 기업의 심사표 곁에 기준 점수를 나란히 써 두었다.
  4. 甲은 일요일 오후 스터디 카페에서 친구와 문제집을 펴 놓고 기술인력 명단에서 고급 3명과 중급 6명이 포함된 15명 이상인지 세어 보았다. 요건 표에 인원수를 따로 적었다.

  보안관제 전문기업 지정기준은 자본 20억원 이상, 심사 70점 이상, 기술인력 15명 이상 등이며 설립 5년 요건은 옳지 않은 보기이다.