정보보안기사 학습 문제 19 — TLS 1.3·피싱 저항 인증·접근통제
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC, NIST 디지털 신원 가이드라인, 개인정보보호위원회 고시의 공개 자료를 근거로 작성했다.
문제 1 — TLS 1.3의 목적
문제
RFC 8446의 TLS 1.3에 대한 설명으로 가장 적절한 것은?
선택지
- 전송 데이터의 압축률만 높이는 프로토콜이다.
- 통신 상대 간 도청·변조·메시지 위조를 방지하도록 설계된 보안 채널을 제공한다.
- 데이터베이스 접근권한을 중앙에서 관리하는 프로토콜이다.
- 비밀번호를 평문으로 전달하기 위한 프로토콜이다.
정답
2번
해설
RFC 8446은 TLS의 주요 목적을 통신하는 두 피어 사이에 보안 채널을 제공하는 것으로 설명하며, TLS 1.3은 도청, 변조, 메시지 위조 방지를 목표로 한다. TLS가 적용됐다는 사실만으로 애플리케이션 권한 검증까지 자동으로 해결되는 것은 아니다. [1]
오답 포인트
TLS는 전송 구간의 기밀성·무결성·상대 인증을 위한 프로토콜이지, 데이터베이스 권한관리나 애플리케이션의 인가를 대신하지 않는다. 암호화된 채널과 안전한 애플리케이션 설계는 별개의 통제다.
출처 또는 검증 근거
[1] IETF, RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3, Introduction: https://datatracker.ietf.org/doc/html/rfc8446
문제 2 — 피싱 저항 인증
문제
NIST SP 800-63B-4의 피싱 저항성에 대한 설명으로 옳은 것은?
선택지
- 사용자가 OTP를 수동 입력하면 항상 피싱 저항 인증이다.
- 피싱 저항성은 사용자의 주의만으로 가짜 검증자에 인증값을 넘기지 않는 능력이다.
- 인증 프로토콜이 인증 비밀과 유효한 인증기 출력을 가짜 검증자에게 공개하지 않도록 해야 하며, 수동 입력 OTP는 피싱 저항으로 보지 않는다.
- 아이디와 비밀번호를 같은 페이지에서 입력하면 피싱 저항성이 확보된다.
정답
3번
해설
NIST는 피싱 저항성을 사용자의 경계심에 의존하지 않고 인증 프로토콜이 인증 비밀 및 유효한 인증기 출력을 가짜 검증자에게 공개하지 않게 하는 능력으로 정의한다. 수동 입력 OTP는 특정 세션에 결합되지 않아 중계될 수 있으므로 피싱 저항 인증으로 간주하지 않는다. [2]
오답 포인트
MFA라는 사실과 피싱 저항성은 동일하지 않다. SMS·이메일 코드나 수동 입력 OTP는 추가 인증 요소일 수 있지만, 공격자가 중계할 수 있으므로 피싱 저항성 판단에서는 별도 검토가 필요하다.
출처 또는 검증 근거
[2] NIST, SP 800-63B-4, Authenticators, §3.2.5: https://pages.nist.gov/800-63-4/sp800-63b/authenticators/
문제 3 — 접근권한의 최소 범위
문제
개인정보처리시스템의 접근권한을 관리하는 방법으로 가장 적절한 것은?
선택지
- 업무 편의를 위해 모든 담당자에게 동일한 관리자 권한을 부여한다.
- 직무와 무관하게 권한을 장기간 유지한다.
- 업무 수행에 필요한 최소 범위로 직무별 차등 권한을 부여하고, 권한 부여·변경·말소 내역을 기록한다.
- 권한 회수 기록은 보안상 필요하지 않으므로 남기지 않는다.
정답
3번
해설
「개인정보의 안전성 확보조치 기준」은 개인정보처리시스템 접근권한을 업무 수행에 필요한 최소 범위로 업무 담당자에 따라 차등 부여하도록 한다. 권한의 부여·변경·말소 내역을 기록하는 것도 사후 점검과 책임 추적에 필요한 통제다. [3]
오답 포인트
최소권한은 사용자 계정에만 적용되는 구호가 아니라 실제 직무·시스템·데이터 단위의 접근 범위를 줄이는 운영 통제다. 퇴직·전보·업무 종료 뒤 권한을 회수하지 않으면 잔존 권한이 공격 표면이 된다.
출처 또는 검증 근거
[3] 개인정보보호위원회, 「개인정보의 안전성 확보조치 기준」, 제5조(접근 권한의 관리): https://law.go.kr/admRulLsInfoP.do?admRulSeq=2100000281400