정보보안기사 기출 빈출 유형 풀이, 접근통제·인증 8문제 (재구성 문제)

정답: (가) DAC, (나) MAC, (다) RBAC

임의적 접근통제(DAC)는 소유자가 권한을 재량으로 부여하고, 강제적 접근통제(MAC)는 시스템이 등급과 레이블로 통제합니다. 역할 기반 접근통제(RBAC)는 사용자가 아니라 역할(직책)에 권한을 연결하므로 인사이동 때 역할만 바꾸면 되어 관리가 쉽습니다.

정답: BLP는 (1) 불허, (2) 불허 / Biba는 (1) 허용, (2) 허용

BLP는 위로 읽지 않기(No Read Up, 단순 보안 속성)와 아래로 쓰지 않기(No Write Down, *-속성)로 기밀 유출을 막습니다. Biba는 반대로 아래를 읽지 않기(No Read Down)와 위에 쓰지 않기(No Write Up)로 낮은 무결성 데이터가 높은 데이터를 오염시키는 것을 막습니다. (1)은 낮은 주체가 높은 문서를 읽는 것이라 BLP에서는 막히고 Biba에서는 문제없으며, (2)는 높은 주체가 낮은 문서에 쓰는 것이라 BLP에서는 막히고 Biba에서는 허용됩니다.

정답: AS 요청·응답(TGT 발급) → TGS 요청·응답(서비스 티켓 발급) → 서비스 요청(AP)

사용자는 인증 서버(AS)에서 티켓 발급 티켓(TGT)과 세션키를 받고, TGT와 인증자(Authenticator)를 티켓 발급 서버(TGS)에 보내 특정 서비스용 서비스 티켓을 받은 뒤, 그 티켓을 서비스 서버에 제시합니다. AS와 TGS를 합쳐 KDC라고 부릅니다. 패스워드 자체가 네트워크로 전송되지 않고, 티켓 재사용을 막기 위해 시스템 간 시간 동기화가 필요하다는 점이 핵심입니다.

정답: FRR 2%, FAR 1%

FRR(본인 거부율)은 20÷1,000=2%, FAR(타인 수락률)은 5÷500=1%입니다. 일치 기준(임계값)을 엄격하게 높이면 위조자를 더 잘 막아 FAR은 낮아지지만 본인도 더 자주 거부되어 FRR은 높아집니다. 두 오류율이 같아지는 지점을 EER이라 하며 장치 성능을 비교하는 지표로 쓰입니다.

정답: 약 0.78시간(약 47분), 약 2.5일

36⁸=2,821,109,907,456이므로 10⁹으로 나누면 약 2,821초, 즉 약 0.78시간입니다. 62⁸=218,340,105,584,896은 약 218,340초로 약 2.5일입니다. 솔트는 사용자마다 무작위 값을 붙여 해시해서 같은 패스워드도 다른 해시값이 되게 하고, 미리 계산된 레인보우 테이블 공격을 무력화합니다. 여기에 bcrypt, scrypt, Argon2, PBKDF2처럼 의도적으로 느린 해시를 쓰면 대입 속도 자체를 낮출 수 있습니다.

정답

• RADIUS: UDP, 인증 1812·과금 1813 포트(과거 1645·1646), 패킷 중 패스워드 필드만 암호화, 인증과 인가가 결합된 구조
• TACACS+: TCP 49번 포트, 패킷 본문 전체를 암호화, 인증·인가·과금을 분리해 처리 가능

네트워크 장비 관리자 계정처럼 명령 단위 인가가 필요한 환경에는 TACACS+가, 무선 랜이나 VPN 사용자 인증에는 RADIUS가 널리 쓰입니다. RADIUS의 후속 프로토콜은 Diameter(포트 3868)입니다.

정답: (가) OAuth 2.0, (나) OpenID Connect(OIDC), (다) SAML

OAuth 2.0은 인증이 아니라 인가 프레임워크라는 점이 함정입니다. 로그인 사용자 정보를 알려면 OAuth 위에서 동작하는 OIDC의 ID 토큰을 사용합니다.

정답: (가) 직무 분리(Separation of Duties), (나) 최소 권한(Least Privilege)

직무 분리는 한 사람이 요청과 승인 같은 연속된 업무를 모두 수행하지 못하게 해서 부정과 실수를 막고, 최소 권한은 침해 시 피해 범위를 줄입니다. 알 필요성(Need-to-Know)은 업무상 필요한 정보에만 접근하게 한다는 점에서 비슷하지만 정보 접근에 초점을 둔 개념입니다.