[정보처리기사] 보안 파트 (시험에 자주 나오는 부분 골라서)
ㅇ 보안 요소 5가지
1. 기밀성(Confidentiality): 시스템 내 정보나 자원은 인가된 사용자에게만 접근 허용
2. 무결성(Integrity): 시스템 내 정보는 인가된 사용자만 수정 가능
3. 가용성(Availability): 인가받은 사용자는 시스템 내 정보나 자원을 언제라도 사용가능
4. 인증(Authentication): 시스템 내 정보나 자원을 사용하려는 자가 합법적인 사용자인지 확인하는 행위
5. 부인 방지(NonRepudiation): 데이터를 송수신한 사실을 부인할 수 없도록 송수신 증거 제공
ㅇ 접근제어자
클래스 내부 | 패키지 내부 | 하위 클래스 | 패키지 외부
public ㅇ ㅇ ㅇ ㅇ
protected ㅇ ㅇ ㅇ x
default ㅇ ㅇ x x
private ㅇ x x x
ㅇ 양방향 암호화 방식 종류
- SEED: 1999년 한국인터넷진흥원에서 개발한 블록 암호화 알고리즘. 블록크기는 128비트
- ARIA: 2004년 국가정보원과 산학연합회가 개발한 블로 암호화 알고리즘
- DES(Data Encrytion Standard): 1975년 미국 NBS에서 발표한 개인키 암호화 알고리즘
- AES(Advanced Encrytion Standard): 2001년 미국 표준 기술 연구소(NIST)에서 발표한 개인키 암호화 알고리즘. DES에 한계를 느껴 발표한 알고리즘이다.
- RSA(Rivest Shamir Adleman): 1978년 MIT의 라이베스트, 샤미르, 애들먼에 의해 제안된 공개키 암호화 알고리즘. 큰 숫자를 소인수분해 하기 어렵다는 것에 기반하여 만들어짐.
ㅇ양방향 알고리즘 내 분류
- 개인키 암호화 기법(대칭 암호화 기법): 동일한 키로 데이터를 암호화하고 복호화, 암/복호화 속도가 빠르지만 관리해야할 키의 수가 많다.
- 공개키 암호화 기법(비대칭 암호화 기법): 암호화할때 사용하는 공개키 / 복호화할때 사용하는 비밀키
ㅇ 해시(Hash)
- 정의: 임의의 길이의 입력 데이터나 메시지를 / 고정된 길이의 값이나 키로 변환하는 것
ㅇ 서비스 거부 공격
- 정의: 대량의 데이터를 한 곳의 서버에 집중적으로 전송함으로써, 표적이 되는 서버의 기능을 방해하는 것
- 종류: 죽음의 핑(Ping of Death), 스머핑(Smurfing), SYN Flooding, TearDrop, LAND Attck, DDOS
1. 죽음의 핑
: ping 명령을 전송할 때, 패킷의 크기를 인터넷 프로토콜 허용 범위 이상으로 전송하여 공격 대상의 네트워크를 마비시키는 서비스 공격방법
2. 스머핑(SMURFING)
: 송신 주소를 공격 대상지의 IP주소로 위장하고, 해당 네트워크 라우터의 브로드캐스트 주소를 수신지로 하여 패킷을 전송 -> 라우터의 브로드캐스트 주소로 수신된 패킷은 해당 네트워크 내의 모든 컴퓨터로 전송된다. 그 모든 컴퓨터는 수신된 패킷에 대한 응답 메세지를 송신 주소인 공격 대상지로 집중적으로 전송 -> 공격 대상지는 네트워크 과부하로 정상적인 서비스 불가
3. SYN Flooding
: 공격자가 가상의 클라이언트로 위장하여 3-way-handshake 과정을 의도적으로 중단시킴으로써 공격 대상지인 서버가 대기상태에 놓이게 하는 것
4. TearDrop
: 데이터를 송수신하는 과정에서 분할된 패킷의 순서를 저장한 Fragment Offset 값을 변경시켜, 수신측에서 패킷을 재조립할때 오류가 발생
5. LAND Attack
:패킷을 전송할때 송신IP주소와 수신IP주소를 모두 공격 대상의 IP주소로 세팅 -> 자신에 대해 무한히 응답하게 하는 공격
6. DDoS(Ditributed Denial of Service, 분산 서비스 거부) 공격
: 여러 분산된 공격 지점에서 한 곳의 서버에 집중 공격 하는것.
ㅇ 네트워크 침해 공격 관련 용어
- 스미싱: SMS를 이용해 사용자의 개인정보 빼내는 수법
- 스피어 피싱: 사회공학의 한 기법. 일반적인 이메일로 위장한 메일을 지속적으로 발송하여, 메일 내 본문 링크나 첨부된 파일을 클릭하도록 유도하여 개인정보 탈취
- APT(Advanced Persistent Threats: 지능형 지속 위협)
- 무작위 대입 공격
- 큐싱: QR코드를 통해 악성앱 다운로드 유도
- SQL 삽입 공격
- 크로스 사이트 스크립팅: 웹 페이지 스크립트의 취약점을 악용한 해킹 기법
- 스니핑: 네트워크의 중간에서 남의 패킷 정보를 도청하는 해킹 유형
ㅇ 정보 보안 침해 공격 관련 용어
- 좀비PC : C&C 서버의 제어를 받아 주로 DDos 공격 등에 이용됨
- C&C서버: 해커가 원격지에서 좀비PC에 명령을 내리고 제어하기 위한 용도로 사용하는 서버
- 봇넷(Botnet): 악의적인 의도로 사용될 수 있는 다수의 컴퓨터들이 네트워크로 연결된 형태
- 웜: 네트워크를 통해 연속적으로 자신을 복제하여 시스템 부하를 높임 -> 시스템 다운
- 트로이 목마: 정상적인 기능을 하는 프로그램으로 위장하여 프로그램 내에 숨어있다가 해당 프로그램이 동작할때 활성화되어 부작용을 일으킴(자기 복제 능력은 없음)
- 제로데이 공격: 보안 취약점의 존재 자체가 널리 공표되기도 전에 이용하여 공격. 공격의 신속성을 의미
- 키로거 공격: 키보드 움직임을 탐지해 개인정보 빼돌리는 공격
- 랜섬웨어: 컴퓨터에 잠입해 내부 문서나 파일 등을 암호화함 -> 해독 프로그램 전달 조건으로 돈을 요구
- 백도어: 시스템 설계자가 시스템 보안을 제거하여 만들어 놓은 비밀 통로. 컴퓨터 범죄에 악용되기도 함
ㅇ VPN (Virtual Private Network, 가상 사설 통신망)
: 공중 네트워크와 암호화 기술을 이용하여 사용자가 마치 자신의 전용 회선을 사용하는 거서럼 해주는 보안 솔루션