이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC 5280, OWASP 공식 XXE 방어 가이드, 국가법령정보센터 및 개인정보 보호 관련 공식 안전조치 기준 안내를 근거로 작성했다.

문제 1 — X.509 인증서 폐기 상태

문제

RFC 5280에서 인증서 폐기 상태를 확인하는 방법에 대한 설명으로 옳은 것은?

선택지

  1. 인증서는 발급 후 폐기할 수 없으므로 유효기간만 확인한다.
  2. CA가 서명한 CRL 또는 OCSP와 같은 메커니즘으로 인증서의 폐기 상태를 제공할 수 있다.
  3. CRL은 클라이언트가 임의로 작성하는 목록이므로 CA 서명이 필요 없다.
  4. OCSP는 인증서 공개키로 암호화된 사용자 비밀번호를 검증하는 프로토콜이다.

정답

2번

해설

RFC 5280은 CA가 발급한 인증서의 폐기 상태를 표시할 책임이 있으며, 폐기 상태 정보는 OCSP, CRL 또는 다른 메커니즘으로 제공될 수 있다고 설명한다. CRL은 폐기된 인증서를 식별하는 시간 정보가 있는 목록이며 CA 또는 CRL 발급자가 서명한다. [1]

오답 포인트

인증서의 유효기간과 폐기 상태는 다른 검증 항목이다. 유효기간 안이라도 키 유출 등 사유로 폐기될 수 있으며, CRL과 OCSP는 인증서 폐기 상태 확인 수단이지 사용자 비밀번호 검증 수단이 아니다.

출처 또는 검증 근거

[1] IETF, RFC 5280, Internet X.509 Public Key Infrastructure Certificate and CRL Profile, https://datatracker.ietf.org/doc/rfc5280/

문제 2 — XML 외부 엔터티(XXE) 방어

문제

신뢰하지 않는 XML을 처리하는 애플리케이션의 XXE 방어 조치로 가장 적절한 것은?

선택지

  1. XML 선언에 포함된 외부 엔터티를 모두 허용하고 입력 길이만 제한한다.
  2. 가능한 경우 DTD를 비활성화하고, 필요한 경우 외부 엔터티·외부 DTD 로딩을 차단한다.
  3. 파서의 보안 설정을 지원하지 않아도 일부 설정만 적용한 채 계속 처리한다.
  4. XML을 HTTPS로 전달하면 파서의 외부 리소스 접근은 안전하므로 별도 제한하지 않는다.

정답

2번

해설

OWASP XXE Prevention Cheat Sheet는 가능한 경우 DTD를 비활성화하고, DTD가 필요한 경우 외부 엔터티 해석과 외부 DTD 로딩을 비활성화하도록 안내한다. 파서별 설정이 다르므로 지원되지 않는 보안 설정을 확인하지 않은 채 처리해서는 안 된다. [2]

오답 포인트

HTTPS는 전송구간 보호일 뿐 XML 파서가 로컬 파일이나 외부 네트워크 자원에 접근하는 행위를 통제하지 않는다. XXE는 정보 노출뿐 아니라 SSRF와 자원 고갈로 이어질 수 있다.

출처 또는 검증 근거

[2] OWASP, XML External Entity Prevention Cheat Sheet, https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention_Cheat_Sheet.html

문제 3 — 개인정보 접속기록 관리

문제

개인정보처리시스템의 접속기록을 관리하는 목적과 운영으로 가장 적절한 것은?

선택지

  1. 접속기록은 저장공간만 차지하므로 개인정보를 처리하는 시스템에서는 남기지 않는다.
  2. 접속기록은 인증정보를 평문으로 저장하는 기능이므로 원문 비밀번호도 함께 기록한다.
  3. 개인정보취급자의 접속 이력과 행위를 추적·점검할 수 있도록 기록을 보관하고 위·변조 방지와 정기 점검을 함께 수행한다.
  4. 기록이 있으면 접근권한을 과도하게 부여해도 최소권한 원칙을 적용할 필요가 없다.

정답

3번

해설

개인정보 보호 관련 안전성 확보조치 기준은 개인정보처리시스템에 대한 접속기록을 보관·관리하고 위·변조 방지 및 점검을 요구하는 통제 체계를 둔다. 접속기록은 누가 언제 어떤 행위를 했는지 사후 추적하는 수단이며, 접근권한 최소화나 인증정보 보호를 대신하지 않는다. [3]

오답 포인트

로그는 평문 비밀번호나 불필요한 개인정보를 담아서는 안 되며, 기록 자체도 접근통제·보관기간·무결성 보호가 필요하다. “로그를 남긴다”와 “과도한 권한을 허용한다”는 서로 대체되는 통제가 아니다.

출처 또는 검증 근거

[3] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 및 현행 개인정보 보호법 제29조 안내, https://www.law.go.kr/법령/개인정보%20보호법/