9급 지방직 공무원 정보보호론 필기 기출문제복원 (2020-06-13)

9급 지방직 공무원 정보보호론
(2020-06-13 기출문제)

목록

1. 전자 서명(digital signature) 보안 메커니즘이 제공하는 보안 서비스가 아닌 것은?

  1. 근원 인증
  2. 메시지 기밀성
  3. 메시지 무결성
  4. 부인 방지
(정답률: 72%)
  • 전자 서명은 근원 인증, 메시지 무결성, 부인 방지를 제공하는 보안 메커니즘이지만, 메시지 기밀성은 전자 서명이 아닌 다른 보안 메커니즘인 암호화 기술에서 제공하는 서비스이다. 메시지 기밀성은 제3자가 메시지 내용을 열람하지 못하도록 보호하는 것을 의미한다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

2. AES(Advanced Encryption Standard)에 대한 설명으로 옳은 것은?

  1. DES(Data Encryption Standard)를 대신하여 새로운 표준이 된 대칭 암호 알고리즘이다.
  2. Feistel 구조로 구성된다.
  3. 주로 고성능의 플랫폼에서 동작하도록 복잡한 구조로 고안되었다.
  4. 2001년에 국제표준화기구인 IEEE가 공표하였다.
(정답률: 76%)
  • AES는 DES(Data Encryption Standard)를 대신하여 새로운 표준이 된 대칭 암호 알고리즘이다. 이는 DES의 보안성이 취약해졌기 때문에 개발된 것이며, 더욱 강력한 암호화 기능을 제공한다. AES는 Feistel 구조로 구성되며, 주로 고성능의 플랫폼에서 동작하도록 복잡한 구조로 고안되었다. 2001년에 국제표준화기구인 IEEE가 공표하였다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

3. 침입탐지시스템(IDS)에 대한 설명으로 옳지 않은 것은?

  1. 호스트 기반 IDS와 네트워크 기반 IDS로 구분한다.
  2. 오용 탐지 방법은 알려진 공격 행위의 실행 절차 및 특징 정보를 이용하여 침입 여부를 판단한다.
  3. 비정상 행위 탐지 방법은 일정 기간 동안 사용자, 그룹, 프로토콜, 시스템 등을 관찰하여 생성한 프로파일이나 통계적 임계치를 이용하여 침입 여부를 판단한다.
  4. IDS는 방화벽처럼 내부와 외부 네트워크 경계에 위치해야 한다.
(정답률: 73%)
  • IDS는 방화벽과 달리 내부와 외부 네트워크 경계에 위치할 필요가 없다. IDS는 네트워크 내부에서도 동작할 수 있으며, 내부 네트워크에서 발생하는 내부 공격도 탐지할 수 있다. 따라서 "IDS는 방화벽처럼 내부와 외부 네트워크 경계에 위치해야 한다."는 옳지 않은 설명이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

4. RSA 암호 알고리즘에서 두 소수, p=17, q=23과 키 값 e=3을 선택한 경우, 평문 m=8에 대한 암호문 c로 옳은 것은?

  1. 121
  2. 160
  3. 391
  4. 512
(정답률: 46%)
  • RSA 암호 알고리즘에서는 공개키와 개인키를 사용하여 암호화와 복호화를 수행한다. 공개키는 (n, e)로 이루어져 있으며, 개인키는 (n, d)로 이루어져 있다. 여기서 n은 두 소수 p와 q의 곱이며, φ(n)은 (p-1)(q-1)과 같다.

    먼저, 주어진 p와 q를 곱하여 n을 구한다.
    n = p * q = 17 * 23 = 391

    다음으로, φ(n)을 구한다.
    φ(n) = (p-1) * (q-1) = 16 * 22 = 352

    그리고 e와 φ(n)이 서로소인 d를 구한다. 이를 위해 확장 유클리드 알고리즘을 사용한다.
    3d ≡ 1 (mod 352)을 만족하는 d를 찾으면 된다.

    확장 유클리드 알고리즘을 사용하여 d를 구하면, d = 235이 된다.

    따라서, 공개키는 (n, e) = (391, 3)이 되고, 개인키는 (n, d) = (391, 235)가 된다.

    이제 평문 m을 암호화하여 암호문 c를 구한다.
    c ≡ m^e (mod n) = 8^3 (mod 391) = 512 (mod 391) = 121

    따라서, 옳은 암호문 c는 "121"이 된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

5. IEEE 802.11i RSN(Robust Security Network)에 대한 설명으로 옳은 것은?

  1. TKIP는 확장형 인증 프레임워크이다.
  2. CCMP는 데이터 기밀성 보장을 위해 AES를 CTR 블록 암호 운용 모드로 이용한다.
  3. EAP는 WEP로 구현된 하드웨어의 펌웨어 업데이트를 위해 사용한다.
  4. 802.1X는 무결성 보장을 위해 CBC—MAC를 이용한다.
(정답률: 45%)
  • IEEE 802.11i RSN은 Wi-Fi 네트워크에서 보안을 제공하기 위한 표준이다. CCMP는 RSN에서 사용되는 암호화 프로토콜로, 데이터 기밀성을 보장하기 위해 AES를 CTR 블록 암호 운용 모드로 이용한다. 이는 AES 알고리즘이 안전하고 효율적인 암호화 방법이기 때문이다. 따라서 CCMP는 안전하고 효율적인 데이터 보호를 제공한다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

6. CC(Common Criteria) 인증 평가 단계를 순서대로 바르게 나열한 것은?

  1. 가 → 나 → 다
  2. 가 → 다 → 나
  3. 나 → 가 → 다
  4. 다 → 나 → 가
(정답률: 54%)
  • 정답은 "가 → 나 → 다"이다.

    - 가: 보안 요구사항 분석 및 명세서 작성
    - 나: 설계 및 구현 검증
    - 다: 평가 및 인증

    이 순서대로 진행되어야 보안 요구사항을 충족시키는 안전한 제품을 만들 수 있기 때문이다. 따라서 "가 → 나 → 다"가 올바른 순서이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

7. SQL 삽입 공격에 대한 설명으로 옳지 않은 것은?

  1. 사용자 요청이 웹 서버의 애플리케이션을 거쳐 데이터베이스에 전달되고 그 결과가 반환되는 구조에서 주로 발생한다.
  2. 공격이 성공하면 데이터베이스에 무단 접근하여 자료를 유출하거나 변조시키는 결과가 초래될 수 있다.
  3. 사용자의 입력값으로 웹 사이트의 SQL 질의가 완성되는 약점을 이용한 것이다.
  4. 자바스크립트와 같은 CSS(Client Side Script) 기반 언어로 사용자 입력을 필터링하는 방법으로 공격에 대응하는 것이 바람직하다.
(정답률: 75%)
  • 정답은 "자바스크립트와 같은 CSS(Client Side Script) 기반 언어로 사용자 입력을 필터링하는 방법으로 공격에 대응하는 것이 바람직하다." 이다.

    SQL 삽입 공격은 사용자의 입력값으로 웹 사이트의 SQL 질의가 완성되는 약점을 이용하여 공격하는 것이다. 이 공격이 성공하면 데이터베이스에 무단 접근하여 자료를 유출하거나 변조시키는 결과가 초래될 수 있다. 따라서, 사용자 요청이 웹 서버의 애플리케이션을 거쳐 데이터베이스에 전달되고 그 결과가 반환되는 구조에서 주로 발생하며, 이를 방지하기 위해서는 입력값을 필터링하거나 파라미터화하여 사용해야 한다.

    하지만 자바스크립트와 같은 CSS(Client Side Script) 기반 언어로 사용자 입력을 필터링하는 것은 쉽게 우회될 수 있으므로, 서버 측에서 적절한 보안 조치를 취하는 것이 바람직하다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

8. 유닉스/리눅스의 파일 접근 제어에 대한 설명으로 옳지 않은 것은?

  1. 접근 권한 유형으로 읽기, 쓰기, 실행이 있다.
  2. 파일에 대한 접근 권한은 소유자, 그룹, 다른 모든 사용자에 대해 각각 지정할 수 있다.
  3. 파일 접근 권한 변경은 파일에 대한 쓰기 권한이 있으면 가능하다.
  4. SetUID가 설정된 파일은 실행 시간 동안 그 파일의 소유자의 권한으로 실행된다.
(정답률: 76%)
  • "파일 접근 권한 변경은 파일에 대한 쓰기 권한이 있으면 가능하다."가 옳지 않은 것이다. 파일 접근 권한 변경은 파일의 소유자나 슈퍼유저(root)만 가능하다. 파일에 대한 쓰기 권한이 있어도 다른 사용자의 접근 권한을 변경할 수 없다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

9. IPSec에 대한 설명으로 옳지 않은 것은?

  1. 전송(transport) 모드에서는 전송 계층에서 온 데이터만을 보호하고 IP 헤더는 보호하지 않는다.
  2. 인증 헤더(Authentication Header) 프로토콜은 발신지 호스트를 인증하고 IP 패킷으로 전달되는 페이로드의 무결성을 보장하기 위해 설계되었다.
  3. 보안상 안전한 채널을 만들기 위한 보안 연관(Security Association)은 양방향으로 통신하는 호스트 쌍에 하나만 존재한다.
  4. 일반적으로 호스트는 보안 연관 매개변수들을 보안 연관 데이터베이스에 저장하여 사용한다.
(정답률: 60%)
  • "보안상 안전한 채널을 만들기 위한 보안 연관(Security Association)은 양방향으로 통신하는 호스트 쌍에 하나만 존재한다."는 옳지 않은 설명이다. IPSec에서는 양방향으로 통신하는 호스트 쌍마다 별도의 보안 연관을 설정할 수 있으며, 이를 통해 각각의 통신에 대한 보안성을 보장할 수 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

10. 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제25조(침해사고 등의 통지 등), 제26조(이용자 보호 등을 위한 정보 공개), 제27조(이용자 정보의 보호)에 명시된 것으로 옳지 않은 것은?

  1. 클라우드컴퓨팅서비스 제공자는 이용자 정보가 유출된 때에는 즉시 그 사실을 과학기술정보통신부장관에게 알려야 한다.
  2. 이용자는 클라우드컴퓨팅서비스 제공자에게 이용자 정보가 저장되는 국가의 명칭을 알려 줄 것을 요구할 수 있다.
  3. 클라우드컴퓨팅서비스 제공자는 법원의 제출명령이나 법관이 발부한 영장에 의하지 아니하고는 이용자의 동의 없이 이용자 정보를 제3자에게 제공하거나 서비스 제공 목적 외의 용도로 이용할 수 없다. 클라우드컴퓨팅서비스 제공자로부터 이용자 정보를 제공받은 제3자도 또한 같다.
  4. 클라우드컴퓨팅서비스 제공자는 이용자와의 계약이 종료되었을 때에는 이용자에게 이용자 정보를 반환하여야 하고 클라우드컴퓨팅서비스 제공자가 보유하고 있는 이용자 정보를 파기할 수 있다.
(정답률: 54%)
  • 옳지 않은 것은 "클라우드컴퓨팅서비스 제공자가 보유하고 있는 이용자 정보를 파기할 수 있다." 이다. 이용자 정보는 일정 기간 동안 보관해야 할 필요가 있을 수 있으며, 이 경우에는 파기하지 않고 보관할 수 있다. 다만, 이 경우에도 이용자 정보의 보호 및 관리에 대한 책임은 클라우드컴퓨팅서비스 제공자에게 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

11. 인증기관이 사용자의 공개키에 대한 인증을 수행하기 위해 X.509 형식의 인증서를 생성할 때 서명에 사용하는 키는?

  1. 인증기관의 공개키
  2. 인증기관의 개인키
  3. 사용자의 개인키
  4. 인증기관과 사용자 간의 세션키
(정답률: 63%)
  • 인증기관이 사용자의 공개키에 대한 인증을 수행하기 위해 X.509 형식의 인증서를 생성할 때, 인증서에 포함된 서명은 인증기관의 개인키로 생성됩니다. 이는 인증기관이 인증서를 발급하는 과정에서 인증서에 대한 책임을 지는 것으로, 인증기관의 개인키를 사용하여 서명함으로써 인증서의 무결성과 신뢰성을 보장합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

12. 하이브리드 암호 시스템에 대한 설명으로 옳지 않은 것은?

  1. 메시지는 대칭 암호 방식으로 암호화한다.
  2. 일반적으로 대칭 암호에 사용하는 세션키는 의사 난수 생성기로 생성한다.
  3. 생성된 세션키는 무결성 보장을 위하여 공개키 암호 방식으로 암호화한다.
  4. 메시지 송신자와 수신자가 사전에 공유하고 있는 비밀키가 없어도 사용할 수 있다.
(정답률: 45%)
  • 생성된 세션키는 무결성 보장을 위하여 공개키 암호 방식으로 암호화한다는 설명이 옳지 않습니다. 하이브리드 암호 시스템에서는 대칭 암호 방식으로 암호화된 메시지와 세션키를 함께 전송하며, 세션키는 일반적으로 의사 난수 생성기로 생성됩니다. 또한, 세션키는 대칭 암호 방식으로 암호화되어 전송되며, 무결성 보장을 위해서는 메시지 인증 코드 등의 추가적인 보안 기술이 필요합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

13. 해시함수의 충돌저항성을 위협하는 공격 방법은?

  1. 생일 공격
  2. 사전 공격
  3. 레인보우 테이블 공격
  4. 선택 평공격
(정답률: 67%)
  • 생일 공격은 해시 함수의 충돌을 일으키는 공격 방법 중 하나입니다. 이 공격은 생일 문제에서 영감을 받아 이름이 붙여졌습니다. 생일 문제는 어떤 그룹에서 무작위로 선택한 사람들 중 생일이 같은 사람이 최소한 두 명 이상 존재할 확률을 계산하는 문제입니다. 이와 비슷하게, 생일 공격은 해시 함수의 출력값이 충돌할 확률을 계산하여 충돌을 일으키는 값을 찾아내는 공격입니다. 이를 위해 공격자는 무작위로 데이터를 생성하고 해시 함수를 적용하여 출력값을 계산합니다. 그리고 이를 반복하여 충돌이 발생할 확률을 높입니다. 이 공격은 해시 함수의 충돌 저항성을 크게 약화시키므로, 안전한 해시 함수를 설계할 때 생일 공격에 대한 대비책을 마련해야 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

14. 블록 암호 운용 모드에 대한 설명으로 옳지 않은 것은?

  1. CFB는 블록 암호화를 병렬로 처리할 수 없다.
  2. ECB는 IV(Initialization Vector)를 사용하지 않는다.
  3. CBC는 암호블록에 오류가 발생한 경우 복호화 시 해당 블록만 영향을 받는다.
  4. CTR는 평블록마다 서로 다른 카운터 값을 사용하여 암호블록을 생성한다.
(정답률: 69%)
  • CBC 모드에서는 이전 블록의 암호문이 현재 블록의 암호화에 사용되므로, 이전 블록의 암호문이 변경되면 이후 모든 블록의 복호화가 영향을 받게 된다. 따라서 "CBC는 암호블록에 오류가 발생한 경우 복호화 시 해당 블록만 영향을 받는다."는 옳지 않은 설명이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

15. 「개인정보 보호법」상 공개된 장소에 영상정보처리기기를 설치ㆍ운영할 수 있는 경우가 아닌 것은?

  1. 범죄의 예방 및 수사를 위하여 필요한 경우
  2. 공공기관의 장이 허가한 경우
  3. 교통정보의 수집ㆍ분석 및 제공을 위하여 필요한 경우
  4. 시설안전 및 화재 예방을 위하여 필요한 경우
(정답률: 73%)
  • 개인정보 보호법에서는 공개된 장소에 영상정보처리기기를 설치ㆍ운영할 수 있는 경우를 제한하고 있습니다. 그 중에서도 공공기관의 장이 허가한 경우에만 설치ㆍ운영이 가능합니다. 이는 공공기관이 범죄 예방, 교통정보 수집ㆍ분석, 시설안전 및 화재 예방 등의 공익적인 목적을 위해 영상정보처리기기를 설치ㆍ운영할 필요성이 있을 때에만 허가를 받을 수 있도록 규정하고 있는 것입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

16. SMTP 클라이언트가 SMTP 서버의 특정 사용자를 확인함으로써 계정 존재 여부를 파악하는 데 악용될 수 있는 명령어는?

  1. HELO
  2. MAIL FROM
  3. RCPT TO
  4. VRFY
(정답률: 54%)
  • VRFY 명령어는 SMTP 서버에서 특정 사용자의 존재 여부를 확인하는 명령어이기 때문에, 악의적인 사용자가 이 명령어를 이용하여 계정 존재 여부를 파악하고 스팸 메일을 보내는 등의 악용이 가능하기 때문입니다. 따라서 보안상의 이유로 VRFY 명령어는 일반적으로 비활성화되어 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

17. 다음 법 조문의 출처는?

  1. 국가정보화 기본법
  2. 개인정보 보호법
  3. 정보통신망 이용촉진 및 정보보호 등에 관한 법률
  4. 정보통신산업진흥법
(정답률: 78%)
  • 이미지에 있는 조항은 "정보통신망 이용촉진 및 정보보호 등에 관한 법률"의 제 44조 2항입니다. 이 법은 인터넷과 같은 정보통신망을 이용하는 모든 사람들의 이용에 대한 규제와 보호를 목적으로 합니다. 이 법은 개인정보 보호, 스팸 메일 등의 광고성 정보의 전송 제한, 컴퓨터 바이러스 등의 해킹 방지 등을 다룹니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

18. 위조된 출발지 주소에서 과도한 양의 TCP SYN 패킷을 공격 대상 시스템으로 전송하는 서비스 거부 공격에 대응하기 위한 방안의 하나인, SYN 쿠키 기법에 대한 설명으로 옳은 것은?

  1. SYN 패킷이 오면 세부 정보를 TCP 연결 테이블에 기록한다.
  2. 요청된 연결의 중요 정보를 암호화하고 이를 SYN—ACK 패킷의 응답(acknowledgment) 번호로 하여 클라이언트에게 전송한다.
  3. 클라이언트가 SYN 쿠키가 포함된 ACK 패킷을 보내오면 서버는 세션을 다시 열고 통신을 시작한다.
  4. TCP 연결 테이블에서 연결이 완성되지 않은 엔트리를 삭제하는 데까지의 대기 시간을 결정한다.
(정답률: 58%)
  • SYN 쿠키 기법은 공격 대상 시스템이 SYN 패킷을 받았을 때, 실제로 연결을 맺지 않고도 TCP 연결 테이블에 기록하여 공격을 방어하는 기법이다. 이때, 요청된 연결의 중요 정보를 암호화하고 이를 SYN-ACK 패킷의 응답 번호로 하여 클라이언트에게 전송한다. 클라이언트가 SYN 쿠키가 포함된 ACK 패킷을 보내오면 서버는 세션을 다시 열고 통신을 시작한다. 따라서, 클라이언트가 SYN 쿠키가 포함된 ACK 패킷을 보내오면 서버는 공격 대상이 아니라고 판단하고 세션을 열어 통신을 시작한다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

19. ISO/IEC 27001:2013 보안관리 항목을 PDCA 모델에 적용할 때, 점검(check)에 해당하는 항목은?

  1. 성과평가(performance evaluation)
  2. 개선(improvement)
  3. 운영(operation)
  4. 지원(support)
(정답률: 62%)
  • ISO/IEC 27001:2013에서 PDCA 모델을 적용할 때, 점검(check)에 해당하는 항목은 "성과평가(performance evaluation)"입니다. 이는 이전에 계획한 보안관리 대책이 실제로 효과가 있는지를 평가하고, 문제점을 파악하여 개선할 수 있는 기회를 제공하기 때문입니다. 성과평가는 보안관리 시스템의 지속적인 개선을 위해 매우 중요한 단계입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

20. 다음에서 설명하는 블록체인 합의 알고리즘은?

  1. Paxos
  2. PoW(Proof of Work)
  3. PoS(Proof of Stake)
  4. PBFT(Practical Byzantine Fault Tolerance)
(정답률: 60%)
  • 이 합의 알고리즘은 PoS(Proof of Stake)입니다. 이는 블록체인에서 새로운 블록을 생성하는 노드를 선택할 때, 해당 노드가 보유한 가상화폐의 양에 따라 선택하는 방식입니다. 즉, 가상화폐를 보유한 노드일수록 블록 생성에 참여할 확률이 높아지는 것입니다. 이는 PoW(Proof of Work)와는 달리 가상화폐를 채굴하는 데 필요한 컴퓨팅 파워를 줄일 수 있으며, 블록 생성 속도를 빠르게 할 수 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

< 이전회차목록 다음회차 >