정보보안기사 대비를 위해 애플리케이션·네트워크·접근통제 영역을 교차 점검하는 문제 세트다. OWASP와 IETF 표준을 확인해 작성했으며, 공개 기출 원문으로 확인되지 않은 문항은 창작 문제로 표시했다.

문제 1 — OWASP Injection 방어

문제

OWASP Top 10:2021 A03:2021 Injection의 예방 원칙으로 가장 적절한 것은?

선택지

  1. 사용자 입력을 문자열 연결로 SQL이나 OS 명령에 직접 포함한다.
  2. 명령과 데이터를 분리하고, 가능한 경우 안전한 API나 매개변수화된 인터페이스를 사용한다.
  3. 클라이언트 측 입력 검증만 통과하면 서버에서는 검증하지 않는다.
  4. ORM을 사용하면 동적 문자열 조합 여부와 관계없이 모든 주입이 불가능하다.

정답

2번

해설

OWASP는 주입 방어에서 명령과 데이터를 분리하고, 인터프리터를 피하는 안전한 API 또는 매개변수화된 인터페이스를 우선하라고 안내한다. ORM이나 저장 프로시저도 내부에서 동적 쿼리를 문자열 결합하면 취약할 수 있으므로 도구 이름만으로 안전성을 보장할 수 없다.

오답 포인트

1번은 주입의 대표적인 원인이다. 3번은 서버 측 검증을 누락한다. 4번은 ORM과 저장 프로시저의 잘못된 사용 가능성을 무시한다.

출처 또는 검증 근거

  • OWASP, A03:2021 Injection — 매개변수화, 안전한 API, 서버 측 검증 및 ORM의 한계.
  • 출제 유형: 창작 문제. OWASP 공식 예방 지침을 시험형 문장으로 재구성했다.

문제 2 — TLS 1.3의 보호 목표

문제

RFC 8446의 TLS 설명과 가장 부합하는 것은?

선택지

  1. TLS는 인터넷상의 클라이언트·서버 애플리케이션이 도청·변조·메시지 위조를 막도록 설계된 방식으로 통신하게 한다.
  2. TLS는 인증서 검증 없이 상대방의 신원을 항상 보증한다.
  3. TLS는 데이터베이스의 행 단위 접근권한을 결정한다.
  4. TLS는 서버 백업과 재해복구를 자동으로 수행한다.

정답

1번

해설

RFC 8446의 Abstract는 TLS가 도청(eavesdropping), 변조(tampering), 메시지 위조(message forgery)를 막도록 설계된 방식으로 클라이언트와 서버 애플리케이션이 통신하게 한다고 설명한다. TLS는 애플리케이션 권한관리나 백업을 대신하는 기능이 아니다.

오답 포인트

2번은 인증서 검증과 신뢰구성의 필요성을 무시한다. 3번과 4번은 TLS의 보호 범위를 애플리케이션 기능으로 잘못 확장한 것이다.

출처 또는 검증 근거

  • IETF, RFC 8446 — TLS 1.3 — Abstract의 TLS 보호 목표.
  • 출제 유형: 창작 문제. RFC의 공식 목적 설명을 시험형 문장으로 재구성했다.

문제 3 — 인증과 접근통제의 구분

문제

웹 서비스의 접근통제 설계에 대한 설명으로 옳은 것은?

선택지

  1. 로그인에 성공한 사용자는 모든 객체와 기능에 접근할 수 있어야 하므로 객체별 권한 검사는 불필요하다.
  2. 인증은 사용자의 신원을 확인하는 과정이고, 접근통제는 확인된 주체가 특정 자원·기능을 사용할 수 있는지 결정하는 과정이다.
  3. URL을 숨기는 것만으로 비인가 사용자의 직접 객체 참조를 방지할 수 있다.
  4. 입력값을 암호화하면 서버의 권한부여 검사는 대체할 수 있다.

정답

2번

해설

인증(authentication)과 권한부여(authorization)는 별개다. 로그인 성공 여부만 확인하지 말고 서버 측에서 주체·객체·행위·정책을 기준으로 권한을 검사해야 한다. 이 문항은 공개 기출 원문이 아닌 접근통제 개념 확인용 창작 문제다.

오답 포인트

1번은 인증 성공을 전권 부여로 오해한다. 3번은 숨김을 통제로 착각한다. 4번은 기밀성 보호와 권한 결정을 혼동한다.

출처 또는 검증 근거

  • OWASP, Top 10:2021 Introduction — A01 Broken Access Control 범주와 접근통제 위험.
  • 출제 유형: 창작 문제. OWASP 접근통제 범주를 인증·권한부여 구분 문제로 재구성했다.

학습 체크

입력은 명령과 분리하고, TLS의 보호 목표를 과장하지 않으며, 인증 성공과 권한부여 성공을 항상 별도로 검증하자.