정보보안기사 학습 문제 07 — TLS 1.3·접근통제·웹 취약점
정보보안기사 대비를 위해 네트워크·시스템·애플리케이션 영역을 교차 점검하는 문제 세트다. 공개 기출 원문으로 확인되지 않은 문항은 창작 문제로 표시하고, 표준·공식 가이드의 내용을 기준으로 구성했다.
문제 1 — TLS 1.3의 보안 특성
문제
RFC 8446이 설명하는 TLS 1.3에 대한 내용으로 옳은 것은?
선택지
- TLS는 도청만 방지하며 통신 중 메시지 변조나 위조는 보장하지 않는다.
- TLS 1.3은 핸드셰이크에서 통신 당사자를 인증하고 암호 알고리즘과 파라미터를 협상하며 공유 키 재료를 설정한다.
- TLS 1.3의 0-RTT 데이터는 일반 애플리케이션 데이터와 동일한 재전송 안전성을 보장한다.
- TLS 1.3은 애플리케이션 데이터의 길이까지 항상 숨긴다.
정답
2번
해설
RFC 8446은 TLS의 목적을 도청·변조·메시지 위조를 방지하도록 설계된 통신으로 설명하고, 핸드셰이크가 인증·알고리즘 및 파라미터 협상·공유 키 재료 설정을 수행한다고 규정한다. 반면 0-RTT는 재전송 공격 위험을 고려해야 하며, TLS가 데이터 길이를 항상 숨기는 것도 아니다.
오답 포인트
1번은 무결성과 위조 방지 특성을 누락한다. 3번은 0-RTT의 약한 재전송 안전성을 무시한다. 4번은 패딩 등 보완 수단과 ‘항상 숨김’을 혼동한 표현이다.
출처 또는 검증 근거
- IETF, RFC 8446 TLS 1.3 — Abstract, 핸드셰이크, 0-RTT 및 트래픽 보호 설명.
- 출제 유형: 창작 문제. RFC 내용을 시험형 문항으로 재구성했다.
문제 2 — 개인정보처리시스템 접근 권한
문제
「개인정보의 안전성 확보조치 기준」의 접근 권한 관리에 대한 설명으로 옳은 것은?
선택지
- 접근 권한은 업무와 무관하게 모든 취급자에게 동일하게 부여한다.
- 취급자 업무가 변경되어도 기존 권한은 정기 점검 때까지 유지할 수 있다.
- 접근 권한은 업무 수행에 필요한 최소한의 범위로 차등 부여하고, 업무 변경 시 지체 없이 변경 또는 말소한다.
- 개인정보처리시스템 계정은 관리 편의를 위해 취급자들이 공유하는 것이 원칙이다.
정답
3번
해설
국가법령정보센터의 2026년 7월 1일 시행 기준 제5조는 접근 권한을 업무 수행에 필요한 최소 범위로 차등 부여하도록 하고, 취급자 또는 업무가 변경되면 지체 없이 권한을 변경 또는 말소하도록 한다. 또한 정당한 사유가 없으면 취급자별 계정을 발급하고 공유하지 않도록 한다.
오답 포인트
1번은 최소권한·직무분리를 위반한다. 2번은 권한 변경의 즉시성을 누락한다. 4번은 개인별 계정 원칙과 책임 추적성을 거꾸로 이해한 것이다.
출처 또는 검증 근거
- 국가법령정보센터, 개인정보의 안전성 확보조치 기준 — 제5조 접근 권한의 관리.
- 출제 유형: 창작 문제. 현행 고시 조항을 시험형 문항으로 재구성했다.
문제 3 — 웹 입력값 검증
문제
로그인 API가 사용자 입력을 SQL 문자열에 직접 이어 붙이는 상황을 예방하는 설계로 가장 적절한 것은?
선택지
- 클라이언트 화면에서만 특수문자를 제거한다.
- 데이터베이스 계정에 관리자 권한을 부여해 오류를 줄인다.
- 서버 측에서 허용 목록 검증을 적용하고 매개변수화된 쿼리를 사용한다.
- 오류 메시지에 실행된 SQL 전체를 출력해 사용자가 확인하게 한다.
정답
3번
해설
서버 측 입력 검증과 매개변수화된 쿼리는 입력값과 SQL 명령 구조를 분리해 SQL 인젝션 위험을 줄이는 대표적인 방어 방법이다. 클라이언트 검증만으로는 우회할 수 있고, 과도한 DB 권한과 상세 SQL 오류 노출은 피해와 정보 노출을 키운다.
오답 포인트
1번은 신뢰 경계를 클라이언트에 둔다. 2번은 최소권한 원칙에 반한다. 4번은 공격자에게 스키마·쿼리 정보를 제공할 수 있다.
출처 또는 검증 근거
- 창작 문제: 공개 기출 원문이 아니라 서버 측 검증·매개변수화·최소권한이라는 일반적인 안전한 개발 원칙을 적용해 구성했다.
- 구현 판단의 검증 근거는 문제의 위협 모델(문자열 결합으로 명령 구조가 입력에 의해 변경됨)과 서버 측 통제의 필요성이다.
학습 체크
TLS는 기밀성만이 아니라 무결성·인증·핸드셰이크 특성을 함께 보고, 개인정보 접근통제는 최소권한과 즉시 말소를 기억하며, 웹 입력은 클라이언트가 아닌 서버 경계에서 통제하자.