한국어
메뉴

사이버 공격과 방어의 실무

FIDO2(WebAuthn)의 패스키에 의한 인증이 일회용 비밀번호(OTP)와 비교하여 피싱에 강하다고 여겨지는 이유로 올바른 것은?

  1. A개인 키에 의한 서명이 접속 대상의 도메인에 묶이므로, 가짜 사이트에서는 진짜 사이트용 서명이 만들어지지 않아 중계해도 사용할 수 없다
  2. B패스키는 6자리 숫자이므로 OTP보다 자릿수가 적고, 사용자가 가짜 사이트에 입력해 버리기까지의 시간도 짧아지기 때문에
  3. C패스키에서는 서버에 사용자의 비밀번호를 저장해 두므로, 가짜 사이트에 입력되더라도 서버에서의 대조로 간파할 수 있기 때문에
정답과 해설 보기

정답: A. 개인 키에 의한 서명이 접속 대상의 도메인에 묶이므로, 가짜 사이트에서는 진짜 사이트용 서명이 만들어지지 않아 중계해도 사용할 수 없다

OTP는 사용자가 화면을 보고 입력하는 값이므로, 가짜 사이트에 입력하게 한 뒤 그 값을 즉시 진짜 사이트로 중계하는 공격(중간자형 피싱)을 막지 못합니다. FIDO2에서는 사이트마다 공개 키와 개인 키의 쌍을 만들어 공개 키만 사이트에 등록하고, 로그인할 때는 사이트에서 보내온 값(챌린지)에 개인 키로 서명합니다. 어느 사이트용 키를 사용할지는 브라우저가 확인한 실제 접속 대상의 도메인으로 정해지고, 서명되는 정보에도 그 접속 대상이 포함되므로 가짜 사이트에서는 진짜 사이트용 서명을 얻을 수 없습니다. 또한 서버에는 공개 키만 저장되므로, 서버에서 유출되더라도 사칭에는 사용할 수 없습니다.

이 분야 연습하기 분야로 돌아가기

사이버 공격과 방어의 실무의 다른 문제

  1. 어떤 웹 서비스에서 서로 다른 많은 IP 주소로부터, 각각 다른 사용자의 ID와 비밀번호 쌍으로 로그인이 대량으로 시도되었고 일부가 성공했다. 시도된 쌍의 대부분은 다른 서비스에서 유출된 것과 일치했다. 이 공격의 이름은?
  2. 다요소 인증을 사용하는 클라우드 메일 서비스에서, 직원이 진짜와 똑같은 로그인 화면으로 유도되어 비밀번호와 일회용 비밀번호를 입력했다. 공격자는 그 화면을 진짜 서비스와의 중계에 사용하여, 로그인 후에 발급된 세션 쿠키를 훔쳐 직원으로 사칭했다. 이 공격과 대책에 대한 설명으로 가장 적절한 것은?
  3. 서버의 관리자 계정을 지키기 위한 특권 접근 관리(PAM)의 사고방식으로 가장 적절한 것은?
  4. 개발자가 클라우드 서비스의 API 키를 포함한 설정 파일을 실수로 공개 Git 리포지토리에 커밋해 버렸다. 알아챈 즉시 그 파일을 삭제하는 변경을 커밋했다. 이후에 해야 할 대응으로 가장 적절한 것은?
  5. 어떤 조직에서 일어난 인시던트 4건에 대해 발생부터 탐지까지의 시간과 탐지부터 봉쇄까지의 시간은 건 1이 10시간과 4시간, 건 2가 30시간과 2시간, 건 3이 2시간과 6시간, 건 4가 6시간과 4시간이었다. 발생부터 탐지까지의 평균 시간(MTTD)과 탐지부터 봉쇄까지의 평균 시간(MTTC)의 조합으로 올바른 것은?