2020 정보보안기사 핵심정리 - 애플리케이션보안

다음 지문의 설명은 FTP의 어떤 공격 유형에 속하는가?

① Bounce 공격

② Anonymous FTP 공격

③ TFTP 공격

④ 스니핑 공격

 

※ bounce attack은 FTP 서버나 사용자를 공격하는 것이 아닌 FTP서버를 경유해서 접근 가능한 내부 서버를 공격/스캔하는 방법으로 FTP프로토콜이 단순히 데이터를 전송할 목적지는 확인하지 않고 데이터만 전송한다는 FTP프로토콜 자체의 취약점을 이용한 공격임.

---

다음 중 PGP(Pretty good privacy)의 기능이 아닌 것은?

① 전자서명

② 기밀성

③ 단편화와 재조립

④ 송수신 부인방지

 

※ PGP의 보안 지원기능 : 기밀성, 메시지 인증, 사용자 인증, 송신 부인방지

---

다음 중 E-mail 전송 시 보안성을 제공하기 위한 보안 전자우편 시스템이 아닌 것은?

① PGP(Pretty Good Privacy)

② S/MIME(Secure Multipurpose Internet Mail Extension)

③ PEM(Privacy Enhanced Mail)

④ SSL(Secure Socket Layer)

---

다음의 지문에서 설명하고 있는 기술들은 전자상거래의 안전성을 지원할 목적으로 이용되는 보안 프로토콜이다. 빈 칸에 들어가야 할 적합한 단어는?

전자상거래의 안전성을 지원할 목적으로 IPSec(Internet Protocol Security), SSL(Secure Socket Layer), OTP(One Time Password) 등이 사용된다. 이 중 IPSec은( ㉮ ) 계층에서, SSL은 ( ㉯ ) 계층에서, OTP는 ( ㉰ ) 계층에서 각각 동작된다.

① ㉮네트워크 ㉯전송      ㉰응용

② ㉮네트워크 ㉯응용      ㉰전송

③ ㉮응용     ㉯네트워크  ㉰전송

④ ㉮응용     ㉯응용       ㉰전송

 

※ 응용계층 : S-HTTP, SET, OTP

---

다음 보기가 설명하고 있는 공격 방식은?

해커가 특정 기업, 기관 등의 HW 및 SW 개발, 공급과정 등에 침투하여 제품의 악의적 변조 또는 제품 내부에 악성코드 등을 숨기는 행위로 최근에 국내 S/W 개발사를 대상으로 S/W가 제작되는 단계에서 설치파일 변조 침해사고가 여러차례 확인된 바 있다. 이러한 사고 예방을 위해서는 개발환경은 외부 인터넷을 차단하여 운영하여야 한다.

① developer chain attack

② supply chain attack

③ stuxnet attack

④ scada attack

 

※ 스턱스넷(Stuxnet) 공격은 독일 지멘스사의 원격 감시 제어 시스템(SCADA)의 제어 소프트웨어에 침투하여 시스템을 마비하게 하는 악성코드이다.

---

다음 중 XML 기반 Web 기술과 관련성이 가장 적은 것은?

① OCSP

② UDDI(Universal Description, Discovery, and Integration)

③ WSDL(Web Services Description Language)

④ SOAP(Simple Object Access Protocol)

 

※ UDDI : 인터넷에서 전 세계 비즈니스 업체 목록에 자신의 목록을 등록하기 위한, XML 기반의 규격을 말한다.

WSDL : 웹 서비스 기술 언어 또는 기술된 정의 파일의 총칭으로 XML로 기술된다.

SOAP : 확장성 생성 언어(XML)와 하이퍼텍스트 전송 규약(HTTP) 등을 기반으로 하여 다른 컴퓨터에 있는 데이터나 서비스를 호출하기 위한 통신 규악이다.

OCSP : 전자 서명 인증서 폐지 목록의 갱신 주기성 문제를 해결하기 위해 폐지/효력 정지 상태를 파악하여 사용자가 실시간으로 인증서를 검증할 수 있는 프로토콜로 Web 기술과는 관련성이 적다.

---

사용자 - 인출프로토콜 - 은행 - 예치프로토콜 - 상점 - 지불프로토콜 - 사용자

---

다음에서 설명하는 정보보호 기술은?

전달하려는 정보를 이미지, 오디오 파일에 인간이 감지할 수 없도록 숨겨 상대방에게 전달하는 기술을 총칭한다. 일반 암호화 방법은 암호화를 통해 정보의 내용을 보호하는 기술인 반면에 이 기술은 정보의 존재 자체를 숨기는 보안 기술이다.

① 핑거프린트(Fingerprint)

② DOI(Digital Object Identifier)

③ 디지털 워터마크(Digital watermark)

④ 스테가노그래피(Steganography)

 

※ 디지털 핑거프린팅 : 콘텐츠 내에 소유자 정보와 구매자 정보를 함께 포함하는 정보를 삽입하여 후에 불법으로 배포된 콘텐츠로부터 배포자가 누구인지를 역추적 할 수 있도록 해주는 기술

---

다음 지문은 무엇을 설명한 것인가?

TCP/IP 프로토콜에서 전송 계층 바로 위에 위치하며 보안 기능을 수행한다.

사용자 상호인증, 데이터 기밀성, 메시지 무결성 등의 보안 서비스를 제공한다.

Handshake 프로토콜, Change ChipherSpec, Alert 프로토콜, Record 프로토콜로 구성된다.

① IPSec

② PGP

③ SSL/TLS

④ SHTTP

---