J정처LAB
메뉴
기출·모의자체 제작분야별 검색핵심개념오답문제저장문제이용안내로그인
← 회차 전체 문제
편집복원자동 검사 완료2023년 정보보안기사 2회 필기 · 애플리케이션 보안 · OAuth 2.0 PKCE · 51번

공개 클라이언트가 인가 코드를 가로챈 공격자에게 토큰을 빼앗기지 않도록 PKCE를 사용한다. 올바른 흐름은?

인가 요청: code_challenge와 redirect_uri 포함

토큰 요청: 인가 코드와 code_verifier 포함

공개 클라이언트는 안전한 client secret 보관이 어려움

  1. 1

    access token을 challenge로 그대로 사용한다.

    오답 이유access token은 성공적인 교환 뒤 발급되므로 challenge 원본이 아니다.
  2. 2

    redirect URI 검증을 생략하고 verifier만 비교한다.

    오답 이유PKCE와 별개로 redirect URI의 정확한 검증도 유지해야 한다.
  3. 3

    클라이언트가 verifier에서 만든 challenge를 인가 요청에 보내고, 토큰 요청 때 원래 verifier를 증명한다.

    정답 근거challenge와 나중의 verifier를 결합해 인가 코드와 원래 요청자를 연결한다.
  4. 4

    인가 서버가 verifier를 URL에 평문으로 먼저 공개한다.

    오답 이유verifier를 먼저 공개하면 공격자도 토큰 교환에 사용할 수 있다.
정답·상세해설

정답 3번

클라이언트가 임의의 code_verifier를 보관하고 그 변환값인 code_challenge를 인가 요청에 포함한다. 인가 코드를 얻은 주체가 토큰 교환 때 verifier를 제시해야 하므로 코드만 가로챈 공격자는 교환할 수 없다.

콘텐츠 기록

콘텐츠 정보

자료 유형
편집복원
검수 상태
자동 검사 완료
해설 작성·검수
정처LAB 자동 검사
최종 검수
2026-08-23
정처LAB 자체 개념 설명

암호 방식·키 교환·전자서명 구분

대칭키·공개키·해시가 실제 프로토콜에서 어떤 순서로 결합되는지 설명합니다.

  • 암호화는 기밀성, 전자서명은 인증·무결성·부인방지가 중심이다.
  • 해시는 복호화하는 방식이 아니다.
전체 개념 정리 읽기 →
이 번호부터 전체 회차 풀기내 오답 복습회차 전체보기시험별 CBT 안내