필기 시험의 접근통제 영역은 용어 하나만 알아도 풀리는 문제와 개념을 뒤집어 묻는 문제가 섞여 나옵니다. 오늘은 그 가운데 접근통제 정책, 보안 모델, 인증 방식을 한 번에 훑습니다.
아래 문제 8개는 제가 직접 만든 학습용 예상문제이며 실제 시험과 다를 수 있습니다. 순서대로 풀고 정답 박스를 확인해 보세요.
이 글의 구성
- 접근통제 정책과 보안 모델(문제 1~2)
- 인증 요소와 생체인증, Kerberos, AAA 프로토콜(문제 3~6)
- 비밀번호 계산과 리눅스 권한(문제 7~8)
문제 1. DAC·MAC·RBAC 구분
다음 설명에 해당하는 접근통제 정책을 각각 쓰시오. (가) 자원의 소유자가 다른 사용자에게 접근 권한을 자유롭게 부여할 수 있다. (나) 시스템이 주체의 허가 등급과 객체의 보안 등급을 비교해 접근을 강제한다. (다) 사용자의 직무에 따라 권한을 묶어 부여한다.
정답·풀이
(가) DAC(임의적 접근통제), (나) MAC(강제적 접근통제), (다) RBAC(역할 기반 접근통제)
리눅스의 chmod로 파일 권한을 바꾸는 방식이 DAC의 대표 사례입니다. MAC은 소유자라 해도 정책을 바꿀 수 없어 군사·정부 시스템에 어울리고, RBAC은 인사 이동이 잦은 조직에서 권한 관리 부담을 줄입니다.
문제 2. Bell-LaPadula 모델의 규칙
기밀성을 위한 Bell-LaPadula 모델의 두 가지 규칙을 쓰고, 무결성 모델인 Biba와 어떻게 반대되는지 설명하시오.
정답·풀이
단순 보안 속성(No Read Up)과 *-속성(No Write Down)
낮은 등급 주체는 높은 등급 정보를 읽을 수 없고, 높은 등급 주체는 낮은 등급 객체에 쓸 수 없습니다. 기밀 정보가 아래로 새는 것을 막는 구조입니다. Biba는 무결성이 목적이라 No Read Down, No Write Up으로, 신뢰도가 낮은 데이터가 높은 등급을 오염시키지 못하게 합니다. 참고로 Clark-Wilson 모델은 무결성 모델이면서 잘 구성된 트랜잭션과 직무 분리를 핵심으로 삼습니다.
문제 3. 인증 요소 분류
다음을 지식, 소유, 존재(생체) 기반 인증으로 분류하시오. ① 비밀번호 ② OTP 토큰 ③ 지문 ④ 스마트카드 ⑤ 질문-답변(PIN 포함)
정답·풀이
지식: ①, ⑤ / 소유: ②, ④ / 존재(생체): ③
인증 강도를 높이려면 서로 다른 요소를 두 개 이상 섞는 다요소 인증이어야 합니다. 비밀번호와 PIN을 함께 쓰는 것은 둘 다 지식 요소라 다요소 인증으로 인정되지 않는 점이 자주 출제됩니다.
문제 4. 생체인증 오류율
생체인증에서 FAR와 FRR의 정의를 쓰고, 판정 임계값을 엄격하게 높이면 두 값이 각각 어떻게 변하는지 쓰시오.
정답·풀이
FAR(타인 수락률)는 감소, FRR(본인 거부률)은 증가
FAR는 허가되지 않은 사람을 잘못 받아들이는 비율, FRR은 등록된 본인을 잘못 거부하는 비율입니다. 둘은 서로 상충하는 관계이며, 두 값이 같아지는 지점의 오류율을 EER(동일 오류율)이라 부르고 장치 간 성능 비교에 씁니다. 보안이 중요한 시설은 FAR를 우선 낮추는 쪽으로 설정합니다.
문제 5. Kerberos 인증 절차
Kerberos에서 KDC를 구성하는 두 서버의 이름과, 사용자가 서비스를 이용하기까지의 순서를 쓰시오. 또한 클라이언트와 서버 사이에 반드시 필요한 환경 조건 하나를 쓰시오.
정답·풀이
AS(인증 서버)와 TGS(티켓 발급 서버)
순서는 ① AS에서 인증받고 TGT를 발급받음, ② TGT를 TGS에 제출해 서비스 티켓을 발급받음, ③ 서비스 티켓을 대상 서버에 제시해 접속입니다. 티켓에 타임스탬프가 들어가 재전송 공격을 막기 때문에 시스템 간 시간 동기화가 필수이며, 허용 오차는 보통 5분 안팎으로 설정합니다. 이 허용 오차를 넘으면 인증이 실패합니다.
문제 6. RADIUS와 TACACS+ 비교
RADIUS와 TACACS+가 사용하는 전송 프로토콜과 포트, 패킷 암호화 범위의 차이를 쓰시오.
정답·풀이
RADIUS는 UDP(인증 1812, 계정 1813), TACACS+는 TCP 49
RADIUS는 패킷 중 비밀번호 필드만 암호화하고, TACACS+는 헤더를 제외한 본문 전체를 암호화합니다. 또 TACACS+는 인증·인가·계정(AAA)을 분리해 처리할 수 있어 장비 관리자 권한을 세밀하게 나눌 때 유리합니다. 초기 RADIUS의 1645/1646 포트는 구버전에서 쓰이던 값이니 보기에 섞여 나오면 주의하세요.
문제 7. 무차별 대입 시간 계산
영문 대소문자와 숫자로 이루어진 8자리 비밀번호를 초당 10억 회 속도로 모두 대입해 본다. 전체 경우의 수와, 최악의 경우 걸리는 시간을 구하시오. 숫자 8자리일 때는 어떠한가?
정답·풀이
628 ≈ 2.18×1014가지, 약 2.5일
628 = 218,340,105,584,896을 109으로 나누면 약 218,340초이고 이는 약 2.5일입니다(파이썬으로 검산). 숫자 8자리는 108 = 1억 가지여서 같은 속도라면 0.1초면 끝납니다. 길이를 늘리고 문자 종류를 섞을수록 경우의 수가 지수적으로 커진다는 점이 요지입니다. 실제 공격은 사전·규칙 기반이 많아 이 수치가 곧 안전 시간은 아닙니다.
문제 8. 리눅스 umask와 특수 권한
umask가 027일 때 새로 만든 파일과 디렉터리의 기본 권한을 8진수로 쓰고, 실행 시 파일 소유자 권한으로 동작하게 하는 특수 권한의 이름과 chmod 설정 예를 쓰시오.
정답·풀이
파일 640, 디렉터리 750 / SetUID(예: chmod 4755 파일명)
파일의 기본값 666, 디렉터리의 기본값 777에서 umask 비트를 빼면 각각 640과 750입니다. SetUID가 걸린 파일은 실행한 사용자가 아니라 소유자의 권한으로 동작하며, ls -l에서는 소유자 실행 자리에 s로 보입니다. 루트 소유의 SetUID 파일은 권한 상승 경로가 되기 쉬워 점검 대상입니다.
공부 팁 3가지
- 보안 모델은 이름이 아니라 방향으로 외웁니다. 기밀성 모델은 위로 읽기 금지, 무결성 모델은 아래로 읽기 금지로 짝을 지어 두세요.
- 프로토콜은 포트와 전송 방식을 표로 만들어 두면 헷갈릴 일이 줄어듭니다.
- 수치 문제는 손으로 한 번, 계산기로 한 번 확인하는 습관이 감점을 막아 줍니다.
면책
이 글의 문제는 학습용 예상문제이며 실제 시험과 다를 수 있습니다. 시험 범위와 일정, 출제 기준은 한국인터넷진흥원(KISA) 등 공식 공지를 반드시 확인하세요.