정보보안기사 학습 문제 52 — TLS 1.3·SQL Injection·정보통신망법
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC Editor, OWASP, 국가법령정보센터의 공개 자료를 근거로 작성했다.
문제 1 — TLS 1.3이 제공하는 보안 속성
문제
RFC 9846이 설명하는 TLS 1.3의 보안 채널 속성으로 옳은 것은?
선택지
- TLS는 서버와 클라이언트를 모두 항상 인증하며 예외가 없다.
- TLS는 인증, 기밀성, 무결성을 제공하도록 설계되지만 데이터 길이 자체까지 자동으로 숨기지는 않는다.
- TLS는 애플리케이션 프로토콜의 인증서 검증 방법까지 모두 자동으로 결정한다.
- TLS는 네트워크 공격자가 통신 내용을 수정해도 탐지하지 못한다.
정답
2번
해설
RFC 9846은 TLS의 보안 채널이 인증·기밀성·무결성을 제공하도록 설계된다고 설명한다. 서버 측 인증은 항상 수행되지만 클라이언트 측 인증은 선택적이며, TLS가 전송 데이터의 길이까지 숨기는 것은 아니다. 또한 어떤 애플리케이션 프로토콜에서 TLS 핸드셰이크를 시작하고 인증서를 어떻게 검증할지는 상위 프로토콜 설계자가 정해야 한다. [1]
오답 포인트
“암호화되었으니 모든 메타데이터도 숨겨진다”는 해석은 틀리다. TLS 적용 여부와 별도로 인증서 검증, 버전·암호군 설정, 애플리케이션의 TLS 연동 규칙을 점검해야 한다.
출처 또는 검증 근거
[1] IETF RFC Editor, RFC 9846, 「The Transport Layer Security (TLS) Protocol Version 1.3」, https://www.rfc-editor.org/info/rfc9846/
문제 2 — SQL Injection 예방
문제
OWASP Top 10:2021의 Injection 예방 원칙에 가장 부합하는 구현은?
선택지
- 사용자 입력을 SQL 문자열에 직접 이어 붙이고 특수문자만 일부 삭제한다.
- 입력을 Base64로 변환한 뒤 동적 SQL 문자열에 이어 붙인다.
- 안전한 API 또는 매개변수화된 인터페이스를 사용해 데이터와 명령·질의를 분리한다.
- 클라이언트 화면에서만 입력을 검사하고 서버에서는 검증하지 않는다.
정답
3번
해설
OWASP는 Injection을 방지하려면 데이터와 명령·질의를 분리해야 하며, 해석기를 직접 사용하지 않거나 매개변수화된 인터페이스를 제공하는 안전한 API와 ORM 사용을 우선 선택하라고 설명한다. 서버 측의 긍정적 입력 검증도 필요하지만 모든 방어를 대체하지는 않으며, 동적 구조명 같은 값은 별도로 엄격히 통제해야 한다. [2]
오답 포인트
인코딩은 SQL 명령과 데이터를 분리하는 매개변수화의 대체 수단이 아니다. 또한 저장 프로시저도 내부에서 문자열을 연결하거나 동적 실행을 하면 취약할 수 있으므로 “프로시저면 무조건 안전”으로 암기하면 안 된다.
출처 또는 검증 근거
[2] OWASP, 「A03:2021 – Injection」, https://top10.owasp.org/2021/A03_2021-Injection/
문제 3 — 정보통신망법의 현행성 확인
문제
2026년 10월 2일 시행본 기준 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」을 학습할 때 가장 적절한 검증 방법은?
선택지
- 오래된 수험서의 조문을 현행법으로 간주하고 시행일을 확인하지 않는다.
- 검색 결과의 제목만 보고 적용 조문과 시행일을 판단한다.
- 국가법령정보센터의 현행 본문에서 시행일·법률번호·개정 부칙과 해당 조문을 함께 확인한다.
- 폐지·삭제된 조문도 현재 시행 중인 것처럼 동일하게 출제한다.
정답
3번
해설
국가법령정보센터는 해당 법률의 시행일과 법률번호를 표시하고, 본문·개정이유·부칙·연혁을 함께 제공한다. 법규 영역은 개정 시점에 따라 조문과 적용 시기가 달라질 수 있으므로, 수험서나 검색 요약만으로 결론 내리지 말고 현행 본문과 부칙을 직접 대조해야 한다. 확인한 페이지에는 2026년 10월 2일 시행 및 법률 제21988호가 표시되어 있다. [3]
오답 포인트
법령 문제에서 조문 암기만으로는 부족하다. “언제 시행되는 개정인지”와 “부칙상 경과조치가 있는지”를 확인하지 않으면 과거 조문을 현행 규정으로 오인할 수 있다.
출처 또는 검증 근거
[3] 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 시행 2026. 10. 2., https://www.law.go.kr/LSW/lsInfoP.do?lsId=000030