이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF, KISA, NIST 공식 자료를 근거로 작성했다.

문제 1 — DNS 프라이버시와 DNSSEC

문제

DNS over TLS(DoT) 또는 DNS over HTTPS(DoH)를 사용하면 DNSSEC 검증이 불필요해진다는 주장에 대한 판단으로 가장 적절한 것은?

선택지

  1. 암호화된 전송은 DNS 응답의 진위를 항상 보장하므로 DNSSEC는 필요 없다.
  2. DNSSEC는 전송 암호화와 같은 기능이므로 둘 중 하나만 사용해야 한다.
  3. DNS 트래픽의 전송 구간 보호와 DNS 데이터의 진위 검증은 다른 문제이므로 DNSSEC가 여전히 필요할 수 있다.
  4. DNSSEC는 오직 이메일 서버에서만 사용하는 인증 방식이다.

정답

3번

해설

IETF RFC 8932는 DNS 트래픽을 암호화하는 방식이 경로상의 일부 공격을 줄여도 DNSSEC의 필요성을 없애지 않는다고 설명한다. 전송 암호화는 클라이언트와 리졸버 사이의 기밀성·무결성 보호에 초점을 두고, DNSSEC는 DNS 데이터가 권한 있는 영역에서 비롯되었는지와 변조되지 않았는지를 검증하는 체계를 제공한다. [1]

오답 포인트

“암호화되었다”와 “응답 데이터의 출처가 검증되었다”는 같은 의미가 아니다. DoT·DoH와 DNSSEC는 대체 관계가 아니라 서로 다른 위협을 다루는 보완적 통제다. [1]

출처 또는 검증 근거

[1] IETF, RFC 8932, Recommendations for DNS Privacy Service Operators, https://datatracker.ietf.org/doc/rfc8932/

문제 2 — 랜섬웨어의 외부 접속 통제

문제

KISA의 랜섬웨어 예방 권고에 부합하는 외부 원격 접속 관리 방안은?

선택지

  1. 유지보수 편의를 위해 모든 서버의 원격 관리 포트를 인터넷에 상시 공개한다.
  2. 기본 관리자 비밀번호를 유지하고 IP 제한은 적용하지 않는다.
  3. 불필요한 외부 공개 시스템은 연결을 차단하고, 필요한 접속에는 IP·단말 제한, 다중인증, 서버별 접근제어와 로그 점검을 적용한다.
  4. 백업이 있으므로 외부 접속 통제는 생략해도 된다.

정답

3번

해설

KISA 지역정보보호센터는 외부에 공개된 시스템 현황을 파악하고 불필요한 시스템의 연결을 차단하며, 필요한 외부 접속에는 접속 IP와 단말 제한, 다중인증, 내부 이동을 막는 서버별 접근제어, 비정상 접속 로그 점검을 권고한다. 유지보수 업체의 접속도 필요할 때만 허용하는 방식이 제시된다. [2]

오답 포인트

특정 포트를 다른 번호로 바꾸는 것만으로 접근통제가 완성되지 않는다. 노출 범위 최소화, 강한 인증, 권한 분리, 로그 기반 탐지를 함께 적용해야 하며 백업은 접근통제를 대체하지 않는다. [2]

출처 또는 검증 근거

[2] 한국인터넷진흥원 지역정보보호센터, 「랜섬웨어 악성코드 감염피해 예방을 위한 보안강화 권고」, https://risc.kisa.or.kr/inform/secInfoDetail.do?scrtyInfoId=SCR_0000000000000040&pageIndex=1&searchCondition=&searchKeyword=

문제 3 — 암호키 관리의 범위

문제

NIST SP 800-57의 취지에 부합하는 암호키 관리 설명은?

선택지

  1. 알고리즘이 강하면 키의 저장·배포·폐기 절차는 관리하지 않아도 된다.
  2. 암호키 관리는 키의 생성, 보호, 배포, 사용, 수명 종료와 관련된 통제를 포함한다.
  3. 공개키는 공개되므로 개인키와 동일한 방식으로 보호할 필요가 없다.
  4. 키 관리 정책은 중앙집중형 조직에만 필요하고 분산 환경에는 적용되지 않는다.

정답

2번

해설

NIST는 SP 800-57을 암호키 자료의 관리에 관한 일반 지침으로 소개하며, 키의 보호 요구사항과 키 관리 기능, 관련 정책·계획을 다룬다고 설명한다. 따라서 암호 알고리즘 선택만으로 충분하지 않고 키의 생성부터 보호, 사용, 교체와 폐기까지 수명주기를 관리해야 한다. [3]

오답 포인트

공개키는 공개되어도 개인키와 비밀키는 무단 공개·대체·변조로부터 보호해야 한다. 또한 키 관리 원칙은 중앙집중형과 분산형 환경 모두에서 정책과 운영절차로 구체화되어야 한다. [3]

출처 또는 검증 근거

[3] NIST, Key Management Guidelines 및 SP 800-57 안내, https://csrc.nist.gov/Projects/Key-Management/Key-Management-Guidelines