이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC 8446, NIST SP 800-57 안내, 국가법령정보센터의 현행 「개인정보의 안전성 확보조치 기준」을 근거로 작성했다.

문제 1 — TLS 1.3 0-RTT의 재전송 위험

문제

RFC 8446의 TLS 1.3 0-RTT 데이터를 사용하는 서비스 설계로 가장 주의해야 할 사항은?

선택지

  1. 0-RTT 데이터는 항상 서버에서 재전송이 불가능하므로 상태 변경 요청에도 제한 없이 사용한다.
  2. 0-RTT는 지연을 줄일 수 있지만 재전송 방어를 고려해 재실행되어도 안전한 요청 등에 제한한다.
  3. 0-RTT를 사용하면 인증서 검증을 생략할 수 있다.
  4. 0-RTT는 TLS와 무관한 평문 통신이므로 암호화할 필요가 없다.

정답

2번

해설

RFC 8446은 TLS 1.3의 0-RTT 데이터를 별도 절로 다루며, 재전송 방지(anti-replay)와 single-use ticket, freshness check를 설명한다. 따라서 지연 감소만 보고 결제·삭제처럼 재실행에 민감한 상태 변경 요청을 무제한으로 0-RTT에 싣지 말고, 서버 측 재전송 방어와 요청 멱등성을 함께 설계해야 한다. [1]

오답 포인트

“암호화되어 있다”와 “재전송되어도 안전하다”는 같은 의미가 아니다. 채널 기밀성·무결성과 애플리케이션 요청의 재실행 안전성은 별도로 검토해야 한다.

출처 또는 검증 근거

[1] IETF, RFC 8446, 「The Transport Layer Security (TLS) Protocol Version 1.3」, §§2.3, 8, https://datatracker.ietf.org/doc/html/rfc8446

문제 2 — 암호키 관리의 범위

문제

NIST SP 800-57 Part 1의 키 관리 안내에 부합하는 설명은?

선택지

  1. 키 관리의 대상은 알고리즘 선택뿐이며 키 보호는 애플리케이션 책임이 아니다.
  2. 키를 한 번 생성해 배포한 뒤에는 사용기간·보호·폐기를 관리할 필요가 없다.
  3. 암호 키 자료, 키 유형별 보호 요구사항, 키 관리 기능과 운영 이슈를 함께 다룬다.
  4. 모든 용도의 키를 하나로 통합하면 관리 대상이 줄어들어 더 안전하다.

정답

3번

해설

NIST의 공식 키 관리 안내는 SP 800-57 Part 1이 암호 키 자료의 일반 지침과 모범 사례, 보안 서비스, 알고리즘·키 유형, 각 자료에 필요한 보호, 키 관리 기능과 운영 이슈를 다룬다고 설명한다. 암호화 적용의 핵심은 알고리즘 이름 하나가 아니라 키의 수명주기와 운영 통제까지 포함한다. [2]

오답 포인트

강한 알고리즘도 키가 노출되거나 목적이 혼용되면 보안 목표를 달성하지 못한다. 키의 생성·저장·사용·교체·복구·폐기와 접근권한을 별도 통제로 설계해야 한다.

출처 또는 검증 근거

[2] NIST, 「Key Management Guidelines」 및 SP 800-57 Part 1 Rev. 5 안내, https://csrc.nist.gov/projects/key-management/key-management-guidelines

문제 3 — 개인정보 인증정보 저장

문제

현행 「개인정보의 안전성 확보조치 기준」 제7조의 비밀번호 저장 원칙으로 옳은 것은?

선택지

  1. 운영자가 원문을 확인할 수 있도록 복호화 가능한 암호문으로 저장한다.
  2. 비밀번호를 평문으로 저장하되 데이터베이스 접근 로그만 남긴다.
  3. 안전한 암호 알고리즘을 사용하고, 비밀번호는 복호화되지 않도록 일방향 암호화해 저장한다.
  4. 비밀번호는 개인정보가 아니므로 보호조치 대상에서 제외한다.

정답

3번

해설

현행 기준 제7조는 비밀번호와 생체인식정보 등 인증정보를 저장하거나 정보통신망으로 송·수신할 때 안전한 암호 알고리즘으로 암호화하도록 하며, 비밀번호 저장 시에는 복호화되지 않도록 일방향 암호화해 저장하도록 정한다. 따라서 원문 복원이 필요한 설계와 비밀번호 검증용 저장은 구분해야 한다. [3]

오답 포인트

접근 로그는 누가 데이터에 접근했는지를 기록할 뿐, 평문 비밀번호나 복호화 가능한 비밀번호 데이터의 노출 위험을 없애지 않는다. 해시 적용 시에도 적절한 비밀번호 전용 방식과 salt·cost 등 구현 세부사항을 함께 검토해야 한다.

출처 또는 검증 근거

[3] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제7조, 시행 2026. 7. 1., https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201