정보보안기사 학습 문제 47 — TLS 1.3·GCM·콘텐츠 보안 정책
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC, NIST, OWASP 공식 자료를 근거로 작성했다.
문제 1 — TLS 1.3의 목적
문제
TLS 1.3에 대한 설명으로 가장 적절한 것은?
선택지
- 네트워크 통신의 도청·변조·메시지 위조를 방지하도록 설계된 프로토콜이다.
- 서버의 파일시스템 권한을 직접 설정하는 운영체제 보안 프로토콜이다.
- 모든 애플리케이션 취약점을 자동으로 제거하는 정적 분석 도구다.
- 대칭키를 사용하지 않고 공개키만으로 모든 애플리케이션 데이터를 암호화한다.
정답
1번
해설
IETF RFC 8446은 TLS가 인터넷에서 클라이언트와 서버 애플리케이션이 통신할 때 도청, 변조, 메시지 위조를 막도록 설계되었다고 설명한다. TLS는 전송 구간의 보안 채널을 제공하지만, 애플리케이션 권한 검증이나 서버 내부 취약점까지 자동으로 해결하지는 않는다. [1]
오답 포인트
TLS를 인증·인가 전체와 동일시하면 안 된다. 또한 TLS 1.3이 공개키 암호만 사용하는 것도 아니다. 핸드셰이크에서 인증과 키 교환을 수행한 뒤 애플리케이션 데이터에는 대칭키 기반 방식이 사용된다.
출처 또는 검증 근거
[1] IETF, RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3, https://www.rfc-editor.org/rfc/rfc8446
문제 2 — AES-GCM의 보안 성질
문제
NIST SP 800-38D가 설명하는 GCM에 대한 내용으로 옳은 것은?
선택지
- GCM은 인증된 암호화(AEAD)를 제공하며, GMAC은 암호화하지 않는 데이터에 MAC을 생성하는 특수화다.
- GCM은 무결성 검증만 제공하고 기밀성은 제공하지 않는다.
- GMAC은 반드시 평문을 복호화한 뒤에만 사용할 수 있다.
- GCM은 대칭키 블록 암호와 무관한 공개키 서명 알고리즘이다.
정답
1번
해설
NIST SP 800-38D는 GCM을 부가 인증 데이터와 함께 사용하는 인증된 암호화 알고리즘으로, GMAC은 암호화하지 않는 데이터에 MAC을 생성하는 방식으로 설명한다. 따라서 GCM은 기밀성과 인증·무결성 성질을 함께 제공하는 구성으로 이해할 수 있다. [2]
오답 포인트
“암호화하면 무결성도 자동 보장된다”는 표현은 모든 암호 모드에 일반화할 수 없다. GCM에서는 인증 태그 검증이 중요하며, nonce/IV 재사용은 별도의 치명적인 설계 문제가 될 수 있다.
출처 또는 검증 근거
[2] NIST, SP 800-38D: Recommendation for Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and GMAC, https://csrc.nist.gov/pubs/sp/800/38/d/final
문제 3 — CSP의 역할
문제
Content-Security-Policy(CSP)에 대한 설명으로 가장 적절한 것은?
선택지
- 서버가 허용할 스크립트·리소스 출처 등을 브라우저에 전달해 XSS 악용을 어렵게 하는 심층 방어 계층이다.
- CSP를 적용하면 서버 측 입력값 검증과 출력 인코딩이 필요 없다.
- CSP는 데이터베이스 계정의 권한을 자동으로 최소화한다.
- CSP는 모든 HTTP 응답이 아니라 로그인 화면에만 설정해야 한다.
정답
1번
해설
OWASP는 서버가 CSP 헤더를 전달하면 브라우저가 페이지에 로드되는 동적 콘텐츠를 제한할 수 있고, 인라인 스크립트·임의 원격 스크립트·위험한 JavaScript 실행 등을 제한해 XSS 방어의 추가 계층을 제공한다고 설명한다. 다만 CSP는 애플리케이션 자체 취약점을 제거하는 유일한 방어책이 아니다. [3]
오답 포인트
CSP를 입력 검증·출력 인코딩의 대체재로 보면 안 된다. 또한 OWASP는 CSP 헤더를 모든 HTTP 응답에 전달하는 방식을 권장하며, 특정 페이지만 보호하는 식으로 범위를 축소하면 누락이 생길 수 있다.
출처 또는 검증 근거
[3] OWASP, Content Security Policy Cheat Sheet, https://cheatsheetseries.owasp.org/cheatsheets/Content_Security_Policy_Cheat_Sheet.html