정보보안기사 학습 문제 48 — 세션 관리·인증수단·보안통제
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 OWASP와 NIST 공식 자료를 근거로 작성했다.
문제 1 — 세션 ID의 보호
문제
인증이 완료된 웹 세션에 대한 설명으로 가장 적절한 것은?
선택지
- 세션 ID가 노출되면 공격자가 피해 사용자를 가장할 수 있으므로, 세션 ID는 인증 상태를 대표하는 민감한 값으로 취급해야 한다.
- 세션 ID는 사용자 이름과 같아야 운영과 추적이 쉽다.
- 세션 ID가 예측 가능해도 HTTPS만 사용하면 항상 안전하다.
- 권한이 상승해도 기존 세션 ID를 계속 유지하는 것이 세션 고정 방어의 기본이다.
정답
1번
해설
OWASP는 인증된 세션의 세션 ID 또는 토큰이 애플리케이션에서 사용된 가장 강한 인증수단과 임시로 동등한 의미를 가진다고 설명한다. 따라서 세션 ID의 노출·탈취·예측·고정은 세션 하이재킹으로 이어질 수 있다. 권한 변경이나 인증 단계 전환 때 세션 ID를 재발급하는 설계도 세션 고정 완화에 중요하다. [1]
오답 포인트
HTTPS는 전송 구간 보호에는 도움을 주지만, 로그·브라우저·애플리케이션 오류 등 다른 경로의 세션 ID 노출을 없애지 않는다. 세션 ID를 사용자 식별정보로 만들거나 권한 변경 뒤 그대로 재사용하는 것도 안전한 설계가 아니다.
출처 또는 검증 근거
[1] OWASP, Session Management Cheat Sheet, https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html
문제 2 — 디지털 인증의 범위
문제
NIST SP 800-63 디지털 신원 지침의 범위에 가장 부합하는 설명은?
선택지
- 개방형 네트워크에서 사용자를 대상으로 신원확인, 등록, 인증자, 인증 프로토콜, 연합 등을 다룬다.
- 데이터베이스 테이블의 인덱스 설계만을 다룬다.
- 방화벽의 패킷 필터 규칙만을 정의한다.
- 애플리케이션 소스 코드의 모든 버그를 자동으로 수정한다.
정답
1번
해설
NIST SP 800-63-3은 정부 IT 시스템과 개방형 네트워크에서 상호작용하는 사용자의 디지털 신원 서비스 구현을 위해 신원확인, 등록, 인증자 관리, 인증 프로토콜, 연합 및 관련 assertion을 다룬다고 설명한다. 이는 단순한 비밀번호 저장 지침이나 방화벽 규칙 문서가 아니다. [2]
오답 포인트
인증(authentication)과 인가(authorization)는 구분해야 한다. 사용자가 누구인지 확인하는 절차가 성공해도, 해당 사용자가 특정 자원에 접근할 권한이 있다는 뜻은 아니다.
출처 또는 검증 근거
[2] NIST, SP 800-63-3: Digital Identity Guidelines, https://csrc.nist.gov/pubs/sp/800/63/3/final
문제 3 — 보안통제 카탈로그의 목적
문제
NIST SP 800-53의 성격을 가장 잘 설명한 것은?
선택지
- 조직과 정보시스템이 다양한 위협·위험에 대응하도록 보안 및 프라이버시 통제 카탈로그를 제공한다.
- 모든 조직에 동일한 설정값을 강제하는 단일 제품 설치 매뉴얼이다.
- 암호 알고리즘의 수학적 증명만을 수록한 문서다.
- 침해사고가 발생한 뒤에만 적용하는 포렌식 도구다.
정답
1번
해설
NIST SP 800-53 Rev. 5는 조직의 운영과 자산, 개인 및 국가를 다양한 위협과 위험으로부터 보호하기 위한 보안·프라이버시 통제 카탈로그를 제공한다. 통제는 조직 전반의 위험관리 과정에서 유연하게 맞춤화할 수 있으며, 기능과 보증 관점의 요구사항을 함께 다룬다. [3]
오답 포인트
통제 카탈로그는 제품 하나의 설치 명령이나 모든 조직에 동일한 정답 설정을 의미하지 않는다. 조직의 임무·업무·법규·위험평가에 따라 통제를 선택하고 구현·평가해야 한다.
출처 또는 검증 근거
[3] NIST, SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations, https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final