정보보안기사 학습 문제 03 — 웹 애플리케이션·TLS·암호모듈
정보보안기사 대비를 위해 애플리케이션·네트워크·암호 영역을 교차 점검하는 문제 세트다. 공개 표준과 공식 기관 자료를 확인해 작성했으며, 공개 기출 원문으로 확인되지 않은 문항은 창작 문제로 표시했다.
문제 1 — OWASP Top 10의 Broken Access Control
문제
OWASP Top 10:2021의 A01:2021에 대한 설명으로 옳은 것은?
선택지
- 인증된 사용자가 허용되지 않은 자원이나 기능에 접근하는 문제 등을 포함한다.
- 암호키를 안전하게 생성하는 절차만을 의미한다.
- 네트워크 케이블의 물리적 단선만을 의미한다.
- 모든 입력값을 암호화하면 자동으로 해결된다.
정답
1번
해설
OWASP는 A01을 Broken Access Control로 분류하고, 보호 메커니즘이 없거나 잘못 적용되어 비인가 행위자가 자원·기능에 접근하는 위험을 설명한다. 인증(authentication)과 권한부여(authorization)를 구분하는 것이 핵심이다.
오답 포인트
2번은 암호키 관리 영역을 혼동한 것이다. 3번은 애플리케이션 접근통제와 무관하다. 4번은 입력값 보호만으로 권한 검사를 대체할 수 있다는 오류다.
출처 또는 검증 근거
- OWASP, Top 10:2021 Introduction — A01:2021 Broken Access Control이 가장 높은 순위의 위험 범주로 설명됨.
- 출제 유형: 창작 문제. OWASP 공식 분류와 설명을 시험형 문장으로 재구성했다.
문제 2 — TLS 1.3의 보안 목적
문제
RFC 8446이 설명하는 TLS의 주된 목적은 무엇인가?
선택지
- 통신 애플리케이션 사이에 도청·변조·메시지 위조를 막도록 설계된 보안 채널을 제공한다.
- 서버의 모든 파일을 자동으로 백업한다.
- 데이터베이스의 접근권한을 애플리케이션 대신 결정한다.
- 인증서 검증 없이 통신 상대의 신원을 항상 보증한다.
정답
1번
해설
RFC 8446은 TLS가 도청, 변조, 메시지 위조를 방지하도록 설계된 보안 채널을 제공한다고 명시한다. 다만 인증서 검증과 신뢰 구성은 별도 운영요소이며 TLS가 모든 애플리케이션 권한을 대신 결정하지는 않는다.
오답 포인트
2번과 3번은 TLS의 기능 범위를 과장한 것이다. 4번은 인증서 검증과 신뢰모델을 무시한 주장이다.
출처 또는 검증 근거
- IETF, RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3 — Abstract의 TLS 보안 채널 목적.
- 출제 유형: 창작 문제. RFC의 목적 문장을 바탕으로 구성했다.
문제 3 — 국가·공공기관 암호모듈 도입 점검
문제
KISA 암호모듈검증 안내에 따른 국가·공공기관의 암호모듈 도입 점검으로 가장 적절한 것은?
선택지
- 검증효력의 유효성, 형상데이터 해시 일치 여부, 보안정책문서, 지원 OS와 검증대상 동작모드를 확인한다.
- 제품명만 같으면 설치 파일의 형상과 동작모드는 확인하지 않는다.
- 검증효력이 만료되어도 별도 안전성 확인 없이 계속 사용한다.
- 암호모듈의 보안정책문서는 도입 판단과 무관하다.
정답
1번
해설
KISA는 도입 시 검증효력의 유효성, 형상데이터(해시 값) 일치, 보안정책문서의 보안기능, 적용 OS와 검증대상 동작모드의 부합 여부를 확인하도록 안내한다. 제품명만 확인하는 것은 동일성을 보장하지 않는다.
오답 포인트
2번은 형상 검증을 누락한다. 3번은 효력 만료 시 기관 책임 아래 안전성을 확인해야 한다는 안내를 무시한다. 4번은 보안정책문서 확인 절차를 부정한다.
출처 또는 검증 근거
- KISA, 암호모듈검증 개요 — 검증효력·형상데이터·보안정책문서·OS·동작모드 점검 항목.
- 출제 유형: 창작 문제. KISA 공식 안내의 도입 유의사항을 재구성했다.
학습 체크
애플리케이션은 인증과 권한부여를 분리하고, 네트워크는 TLS의 보호 목표를 한정해 이해하며, 암호모듈은 제품명이 아니라 검증 상태와 형상을 확인하자.