J정처LAB
메뉴
기출·모의자체 제작분야별 검색핵심개념오답문제저장문제이용안내로그인
← 회차 전체 문제
편집복원자동 검사 완료2023년 정보보안기사 4회 필기 · 애플리케이션 보안 · XML 서명 래핑 · 52번

SAML 응답의 서명은 원래 Assertion을 가리키지만 애플리케이션은 공격자가 추가한 서명되지 않은 Assertion을 먼저 사용한다. 대응은?

서명 Reference는 ID=trusted인 Assertion을 지시

문서 앞부분에는 서명되지 않은 ID=attacker Assertion이 추가됨

애플리케이션은 첫 Assertion을 업무 데이터로 선택

  1. 1

    문서 안에 서명이 하나라도 있으면 첫 Assertion을 신뢰한다.

    오답 이유서명되지 않은 공격 요소를 선택할 수 있어 취약하다.
  2. 2

    XML 들여쓰기를 제거한다.

    오답 이유공백 변경만으로 노드 선택 로직이 안전해지지 않는다.
  3. 3

    응답을 Base64로 두 번 인코딩한다.

    오답 이유Base64는 구조와 신뢰를 검증하지 않는 인코딩이다.
  4. 4

    서명 참조가 가리키는 정확한 요소만 처리하고 ID 유일성·스키마·Issuer·Audience·시간 조건을 함께 검증한다.

    정답 근거서명 대상과 소비 대상을 일치시키고 토큰 의미 조건도 검증한다.
정답·상세해설

정답 4번

XML 서명 래핑은 암호학적 서명 자체가 유효해도 애플리케이션이 다른 요소를 업무 데이터로 선택하는 의미 불일치를 이용한다. 검증한 참조 노드와 실제 사용하는 노드를 동일하게 결합해야 한다.

콘텐츠 기록

콘텐츠 정보

자료 유형
편집복원
검수 상태
자동 검사 완료
해설 작성·검수
정처LAB 자동 검사
최종 검수
2026-08-23
정처LAB 자체 개념 설명

암호 방식·키 교환·전자서명 구분

대칭키·공개키·해시가 실제 프로토콜에서 어떤 순서로 결합되는지 설명합니다.

  • 암호화는 기밀성, 전자서명은 인증·무결성·부인방지가 중심이다.
  • 해시는 복호화하는 방식이 아니다.
전체 개념 정리 읽기 →
이 번호부터 전체 회차 풀기내 오답 복습회차 전체보기시험별 CBT 안내