정보보안기사 학습 문제 42 — 키 관리·TLS 1.3·개인정보 암호화
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 NIST SP 800-57 Part 2 Rev. 1, IETF RFC 8446, 국가법령정보센터의 현행 고시를 근거로 작성했다.
문제 1 — 암호키 관리 조직
문제
NIST SP 800-57 Part 2 Rev. 1의 취지에 가장 부합하는 설명은 무엇인가?
선택지
- 암호 알고리즘을 선택하면 키의 생성·보관·사용·폐기는 별도 관리가 필요 없다.
- 키 관리 정책과 실무 지침은 조직의 암호키 관리 체계를 계획·운영하기 위한 문서화 대상이다.
- 대칭키와 비대칭키는 관리 특성이 같으므로 동일한 절차 하나만 적용한다.
- 키가 유출되어도 알고리즘이 공개되어 있으면 교체할 필요가 없다.
정답
2번
해설
NIST SP 800-57 Part 2는 효과적인 키 관리 조직을 위해 대칭키·비대칭키 관리의 개념과 기능, 보안 계획 및 문서화 요구사항, 키 관리 정책과 실무 명세를 다룬다. 따라서 알고리즘 선택만이 아니라 키 수명주기와 조직의 정책·절차를 함께 관리해야 한다. [1]
오답 포인트
암호 강도와 키 관리 강도는 별개다. 키의 생성, 저장, 배포, 사용, 복구·폐기 및 침해 시 대응이 빠지면 실제 보호 수준을 설명할 수 없다. [1]
출처 또는 검증 근거
[1] NIST, Recommendation for Key Management: Part 2 — Best Practices for Key Management Organizations, SP 800-57 Part 2 Rev. 1, https://csrc.nist.gov/pubs/sp/800/57/pt2/r1/final
문제 2 — TLS 1.3 레코드 보호
문제
RFC 8446에 따른 TLS 1.3 설명으로 옳은 것은?
선택지
- TLS는 도청 방지만 제공하고 변조·위조 방지는 제공하지 않는다.
- TLS 1.3의 레코드 보호는 AEAD를 사용하며, 레코드별 nonce와 키 사용 제한을 고려해야 한다.
- TLS 1.3에서는 키 교환과 애플리케이션 데이터 암호화가 동일한 단계다.
- 한 번 사용한 nonce는 같은 키에서 반복해도 무방하다.
정답
2번
해설
RFC 8446은 TLS가 도청, 변조, 메시지 위조를 방지하도록 설계된다고 설명하고, 레코드 보호에서 AEAD와 레코드별 nonce를 규정한다. 또한 키 사용 제한과 키 업데이트를 별도로 다루므로 키 교환, 레코드 보호, 키 수명주기를 구분해서 이해해야 한다. [2]
오답 포인트
“HTTPS는 암호화된다”만 암기하면 부족하다. 인증된 암호화와 nonce 관리가 함께 작동해야 하며, nonce 재사용은 AEAD 보안을 훼손할 수 있다. [2]
출처 또는 검증 근거
[2] IETF, RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3, §5.2·§5.3·§5.5, https://www.rfc-editor.org/rfc/rfc8446.html
문제 3 — 비밀번호의 저장
문제
현행 「개인정보의 안전성 확보조치 기준」에 따른 비밀번호 저장 설명으로 가장 적절한 것은?
선택지
- 운영자가 원문을 확인해야 하므로 평문으로 저장한다.
- 비밀번호를 복호화할 수 있는 대칭키와 함께 저장한다.
- 비밀번호는 복호화되지 않도록 일방향 암호화하여 저장한다.
- 비밀번호는 개인정보 보호 대상이 아니므로 암호화하지 않는다.
정답
3번
해설
현행 기준 제7조는 비밀번호 등 인증정보를 안전한 암호 알고리즘으로 보호하도록 하고, 비밀번호를 저장하는 경우에는 복호화되지 않도록 일방향 암호화하여 저장하도록 규정한다. 따라서 원문 복구가 필요한 암호화와 검증 목적의 일방향 저장을 구분해야 한다. [3]
오답 포인트
“암호화”라는 단어만 보고 복호화 가능한 방식으로 저장하면 안 된다. 비밀번호 검증은 원문 회수가 아니라 안전한 검증값 비교를 전제로 하며, 실제 구현에서는 표준화된 패스워드 해시와 파라미터를 확인해야 한다. [3]
출처 또는 검증 근거
[3] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제7조, [시행 2026. 7. 1.], https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201