해설 보기
정답통계적 방법으로 데이터 내용이 분석되는 것은 정보 내용이 인가 없이 노출되는 것이므로 기밀성 침해입니다.
핵심 개념
정보보호의 3대 요소와 위협 유형(기밀성·무결성·가용성)
정보보호의 기본 목표는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)입니다. 기밀성은 인가되지 않은 자에게 정보 내용이 노출되지 않도록 하는 성질로, 도청(Interception)이나 트래픽 분석처럼 정보를 '엿보는' 소극적 공격이 기밀성 침해에 해당합니다. 무결성은 정보가 인가 없이 변경·삭제·위조되지 않는 성질로 변조(Modification)와 위조(Fabrication)가, 가용성은 필요할 때 정상적으로 사용할 수 있는 성질로 서비스 방해(Interruption)가 각각 대응됩니다. 이 문제는 각 선지가 어느 보안 요소를 침해하는지 매칭하는 유형입니다.
선지별 해설
①장비가 불능 상태가 되어 서비스가 제공되지 않는 것은 자산을 사용할 수 없게 만드는 서비스 방해(Interruption)로, 가용성 침해에 해당합니다. 기밀성과는 관계가 없으므로 정답이 될 수 없습니다.
②통계적 방법으로 데이터 내용이 분석되는 것은 트래픽 분석·도청과 같은 소극적 공격으로, 인가받지 않은 자가 정보의 내용을 알아내는 행위입니다. 따라서 기밀성 침해에 해당하며 이 문항의 정답입니다.
③새로운 파일이 허위로 만들어지는 것은 위조(Fabrication)로서, 원래 존재하지 않던 데이터를 시스템에 삽입하는 행위입니다. 이는 무결성 침해이므로 기밀성 침해라 볼 수 없습니다.
④메시지가 재정렬되는 것은 전송 중인 데이터의 순서를 임의로 바꾸는 변조(Modification)에 해당합니다. 데이터가 원래 상태를 유지하지 못하게 되므로 무결성 침해로 분류됩니다.
해설 보기
정답Certificate Revocation List(CRL)는 CA가 폐지한 인증서들의 일련번호를 모아 서명·배포하는 인증서 폐지 목록입니다.
핵심 개념
PKI의 인증서 폐지 관리 - CRL과 OCSP
공개키기반구조(PKI)에서는 인증서의 유효기간이 남아 있더라도 개인키 유출, 소속 변경, 관리상의 문제 등이 생기면 인증서를 폐지해야 합니다. 이때 폐지된 인증서들의 일련번호를 모아 인증기관(CA)이 주기적으로 발행·서명하는 '목록'이 바로 인증서 폐지 목록(CRL, Certificate Revocation List)입니다. CRL은 목록 형태로 배포되기 때문에 갱신 주기 사이에는 최신성이 떨어진다는 단점이 있고, 이를 보완해 특정 인증서 하나의 상태를 실시간으로 질의·응답하는 프로토콜이 OCSP입니다. '목록'을 묻는지 '프로토콜'을 묻는지 구분하는 것이 이 문제의 핵심입니다.