정보보안기사 학습 문제 50 — TLS·안전한 전송·연계정보 보호
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 방송통신위원회·한국인터넷진흥원 안내서와 국가법령정보센터 자료를 근거로 작성했다.
문제 1 — 전송구간 보호 프로토콜
문제
KISA 안내서가 제시하는 연계정보 전송구간 보호에 대한 설명으로 옳은 것은?
선택지
- 인터넷 구간에서는 평문 HTTP를 사용하고 데이터베이스만 암호화하면 된다.
- SSL v3와 TLS 1.0 같은 취약 프로토콜도 호환성을 위해 계속 활성화해야 한다.
- SSL/TLS, VPN 등 안전한 방법을 적용하고 취약한 프로토콜은 사용하지 않도록 한다.
- SFTP와 SSH는 파일·원격 접속 보호와 무관하므로 전송구간 대안이 될 수 없다.
정답
3번
해설
방송통신위원회·KISA의 「연계정보 처리 및 안전조치 등에 관한 안내서」는 연계정보를 인터넷망으로 송수신할 때 SSL/TLS, 응용프로그램 방식 암호화, VPN 등의 방법을 제시하며, SSL v3 및 TLS 1.0 등 취약한 프로토콜은 사용하지 않도록 안내한다. 안내서는 안전한 파일 전송·접속을 위해 SFTP·SSH 등도 언급한다. [1]
오답 포인트
저장 시 암호화는 전송 중 도청을 막는 대체 수단이 아니다. 또한 “TLS를 쓴다”는 사실만으로 충분하지 않고, 취약 버전 비활성화와 안전한 암호 알고리즘·설정의 점검이 필요하다.
출처 또는 검증 근거
[1] 방송통신위원회·한국인터넷진흥원, 「연계정보 처리 및 안전조치 등에 관한 안내서」(2025. 6.), https://identity.kisa.or.kr/web/main/file/download/uu/98dbd5af85ff46edb17e6e1633be0b9c
문제 2 — 연계정보의 성격
문제
정보통신망법과 KISA 안내서에서 설명하는 연계정보에 대한 설명으로 가장 적절한 것은?
선택지
- 주민등록번호를 그대로 복사한 값이므로 원문 보관과 동일하게 취급할 필요가 없다.
- 서비스 연계를 위해 이용자의 주민등록번호를 비가역적으로 암호화한 정보다.
- 누구나 역산할 수 있는 단순 인코딩 값이므로 보호조치가 필요 없다.
- 공개키 인증서의 유효기간을 뜻하는 메타데이터다.
정답
2번
해설
KISA 안내서는 연계정보를 정보통신서비스 제공자의 서비스 연계를 위해 이용자의 주민등록번호를 비가역적으로 암호화한 정보로 설명한다. 비가역적 암호화는 원래 주민등록번호로 복원할 수 없도록 하는 일방향 처리라는 의미이며, 다른 정보와 결합 가능성이 있으면 개인정보로 관리하는 것이 타당하다고 안내한다. [1][2]
오답 포인트
해시·암호화·인코딩을 동일시하면 안 된다. 비가역성은 단순한 Base64 같은 인코딩을 의미하지 않으며, 연계정보가 원문을 직접 포함하지 않는다는 이유만으로 보호조치가 사라지는 것도 아니다.
출처 또는 검증 근거
[1] 방송통신위원회·한국인터넷진흥원, 「연계정보 처리 및 안전조치 등에 관한 안내서」, https://identity.kisa.or.kr/web/main/file/download/uu/98dbd5af85ff46edb17e6e1633be0b9c
[2] 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제23조의5, https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=290001&efYd=20261002
문제 3 — 안전한 암호 알고리즘 선택
문제
KISA 안내서의 암호 알고리즘 관련 설명과 일치하는 것은?
선택지
- DES, MD5, SHA-1은 최신 보호 대상에도 우선 권장되는 알고리즘이다.
- 알고리즘은 한 번 정하면 기술 발전과 무관하게 영구적으로 안전하다.
- 연계정보를 암호화할 때 안전한 알고리즘을 사용하고, DES·MD5·SHA-1 같은 취약 알고리즘은 피한다.
- 암호화는 키 관리와 무관하므로 키를 소스 코드에 고정해도 된다.
정답
3번
해설
KISA 안내서는 연계정보 암호화에 안전한 암호 알고리즘을 사용해야 하며, 특히 DES, MD5, SHA-1 등 취약한 알고리즘은 사용하지 않도록 주의해야 한다고 설명한다. 또한 기술 발전과 시간 경과에 따라 안전한 알고리즘 판단이 달라질 수 있으므로 관련 기관의 최신 정보를 확인할 필요가 있다고 안내한다. [1]
오답 포인트
알고리즘 이름만 선택하고 키 관리·수명·프로토콜 설정을 무시하면 암호화의 목적을 달성하기 어렵다. 특히 해시 함수와 암호화 알고리즘은 용도와 보안 성질이 다르므로 문제에서 제시한 용어를 구분해야 한다.
출처 또는 검증 근거
[1] 방송통신위원회·한국인터넷진흥원, 「연계정보 처리 및 안전조치 등에 관한 안내서」, https://identity.kisa.or.kr/web/main/file/download/uu/98dbd5af85ff46edb17e6e1633be0b9c