정보보안기사 자격증 취득 준비 및 요점 정리(7)

●악성코드 대응 분석 (정적, 동적)

 

-정적분석 : 알려진 악성코드 경유지/유포지/중계지 or 악성스크립트 포함 악성링크 탐지로 알려진 탐지 패턴으로 점검 → 속도 빠름, 신종 악성코드 탐지X

 

-동적분석 : 이용자 pc 환경구성, 취약점 노출로 악성행위 분석, 느리지만 신종코드 탐지 가능

 

 

●Open SSL 하트블리드 방안

-OpenSSL 최신버전 업데이트

-서버측 SSL 비밀키 유출가능성 있으므로 SSL 서버인증서 재발급

 

●전자서명 주요 기능

 

 

1. 위조불가 : 합법적 서멍자만 생성 가능

2. 변경불가

3. 서명자 인증 : 서명자를 불특정 다수가 검증할 수 있어야

4. 재사용 불가 : 다른전자문서 서명으로 사용x

5. 부인방지

 

●전자서명 (두 가지 개념의 순서와 특징)

 

 

1. 메시지에 직접 서명 (메시지 복원형 전자서명)

-서명자가 자신의 개인키로 암호화 → 검증자가 서명자의 공개키로 복호화 → 복호화된 메시지와 직접 수신 메시지 비교함

-별도의 전자서명 프로토콜 필요 x, 메시지를 일정크기 블록으로 나눠 각각 서명하여 시간소요 많음

 

2. 메시지 해시값에 서명 (부가형 전자서명)

-일방향 해시함수로 메시지 해시값 구하고 서명자의 개인키로 암호화 → 수신자는 서명자의 공개키로 복호화 → 단 한번의 서명생성과정의 효율성

 

●접근통제 보안 등급 : 대외비, 비밀, 기밀, 민감

 

●사용자 인증 유형

 

 

-지식기반, something you know, 핀ㆍpw

-소유기반, something you have, OTPㆍ보안카드ㆍ공인인증서

-생체기반, something you are, 지문ㆍ홍채

-행위기반, something you do, 음성ㆍ걸음걸이ㆍ뇌파

 

결합하면 Two Factor, Multi Factor 인증

●커버로스 (순서)

 

1. 클라이언트는 인증기능 가진 AS와 티켓 발행하는 TGS로 구성된 KDC(Key Distribution Center)접속

2. AS서버 통해 인증 받고, 세션키로 암호화된 서비스티켓 받은 후 암호화된 서비스티켓 복호화

3. 클라이언트는 접속 원하는 서비스에 확보한 티켓 통해 인증

4. 타임스탬프 이용한 시간제한, 다른 사람이 티켓 복사해 위장해 티켓 사용하는 것 막음(재전송공격)

 

●해시함수

 

-역상저항성 : 출력 값 Y에 대해 y=h(x) 만족하는 입력 값 x 찾기 불가능

-제2역상저항성 : 입력 값 x에 대해 h(x)=h(x’), x≠x’ 찾기 불가능

-충돌저항성 : h(x)=h(x’)만족하는 입력 값 x, x’ 찾기 불가능

 

●PKI 구성 객체

 

1. CA(인증기관 : Certificate Authority) : 인증정책 수립, 인증서 발행ㆍ효력정지, 폐지 등 관리, 다른 CA와 상호인증 수행

2. RA(등록기관 : Registration~) : 사용자 신원확인ㆍ인증기관에 사용자등록ㆍ발행인증서 사용자에 전달

3. CRL(인증서폐기목록 : Certificate Revocation List) : 효력정지ㆍ폐기목록으로 인증 기관별 관리

 

●전자투표 요구사항

 

 

-완전성 : 정확한 집계

-익명성, 이중투표 방지, 적임성(투표권한)

-건전성 : 부정한 투표자로 선거방해 없어야

-정당성 : 투표에 영향 미치는 것 없어야

-검증가능 : 선거결과 변경할 수 없도록 누구라도 결과 확인해 검증 가능해야

 

 

●OTP (개념, 구현방법, 암호화 기법, 응용분야?)

 

 

 

ㅁ개념 : 불법적 도청으로 인한 PW 유출 방지 위해 한번만 사용하는 PW

ㅁ구현 : -동기화된 시간 인지해 타임스탬프 이용
-클라이언트와 서버가 가진 임의의 pw 리스트 위치 동기화해 pw로 사용하는 방법
-시퀀스 생성기 동기화해 임으의 시퀀스 생성기를 pw로 사용하는 방법
-챌린지-리스펀스 이용방법

ㅁ기법 : 해시함수

ㅁ응용분야 : 키분배, kerberos, 인증, 온라인게임, 인터넷 뱅킹 접속