J정처LAB
메뉴
기출·모의자체 제작분야별 검색핵심개념오답문제저장문제이용안내로그인
← 회차 전체 문제
편집복원자동 검사 완료2023년 정보보안기사 2회 필기 · 애플리케이션 보안 · CORS · 55번

API 응답에 요청의 Origin 값을 그대로 반사하고 `Access-Control-Allow-Credentials: true`를 설정했다. 공격 사이트에서 로그인 사용자의 응답을 읽을 수 있는 이유와 개선으로 옳은 것은?

Access-Control-Allow-Origin: 요청 Origin 그대로 반사

Access-Control-Allow-Credentials: true

인증은 브라우저 세션 쿠키 사용

  1. 1

    쿠키가 HttpOnly라서이며 HttpOnly를 해제한다.

    오답 이유HttpOnly는 스크립트의 쿠키 값 읽기를 막지만 쿠키가 요청에 자동 포함되는 것은 별개다.
  2. 2

    응답 JSON의 필드가 많아서이며 압축을 끈다.

    오답 이유JSON 크기와 압축은 브라우저의 출처 접근 결정에 영향을 주지 않는다.
  3. 3

    자격증명 요청에 임의 Origin을 허용했기 때문이며, 신뢰 Origin을 정확히 허용목록으로 검증한다.

    정답 근거출처 허용과 자격증명이 결합되어 교차 출처의 응답 읽기가 가능해진다.
  4. 4

    TLS 인증서가 짧아서이며 모든 Origin을 `*`로 바꾼다.

    오답 이유와일드카드는 자격증명 요청에 쓸 수 없고 신뢰 범위를 넓히는 해결이 아니다.
정답·상세해설

정답 3번

CORS는 서버가 브라우저에 어떤 출처의 읽기를 허용할지 알리는 정책이다. 임의 Origin을 반사하면서 credentials를 허용하면 공격 출처도 사용자의 쿠키가 포함된 응답을 읽을 수 있다. 필요한 출처만 정확히 비교해 허용해야 한다.

콘텐츠 기록

콘텐츠 정보

자료 유형
편집복원
검수 상태
자동 검사 완료
해설 작성·검수
정처LAB 자동 검사
최종 검수
2026-08-23
정처LAB 자체 개념 설명

TCP/IP·서브넷·프로토콜 핵심정리

계층별 장비와 프로토콜, TCP 동작, 서브넷 계산을 시험 관점에서 연결합니다.

  • 스위치는 주로 MAC 주소표를 사용한다.
  • 라우터는 IP 경로를 선택한다.
전체 개념 정리 읽기 →
이 번호부터 전체 회차 풀기내 오답 복습회차 전체보기시험별 CBT 안내