실제 시험 문제 36

예제로 확인하기

• 네트워크에서 누가 누구에게 무엇을 보내는가을 이 문제에 대입하기

  IP address가 아파트 건물 주소라면 port는 몇 호인지, protocol은 택배 봉투를 어떤 양식으로 쓰는지, router는 다음 물류 센터를 고르는 역할에 가깝다.

  1. 송신자와 수신자를 먼저 적는다.

  2. 출발지·목적지 IP와 port를 구분한다.

  3. 중간 장치가 내용을 읽는지 단순히 전달하는지 구분한다.

  4. 응답이 어느 방향으로 돌아오는지 그린다.

  위 순서를 문제 문장 ‘TLS-Zertifikate를 발급하는 CA SecureDomainCertCA가 fixed domain address에 token을 두는 HTTP-Challenge를 사용한다. Eve는 어떻게 bob.net에 대한 TLS certificate를 받을 수 있는가?’에 적용하면, 이 문항의 핵심 결론은 Eve manipulates DNS/BGP/routing seen by the CA, serves the expected HTTP challenge token, and the CA incorrectly concludes control over bob.net.입니다.

• TLS certificate가 확인하는 것과 확인하지 않는 것을 이 문제에 대입하기

  건물 등기와 열쇠가 맞는지는 확인하지만 그 건물 안 가게가 좋은 물건을 파는지까지 보증하는 것은 아닌 것과 같다.

  1. URL의 hostname과 certificate의 SAN 이름을 비교한다.

  2. CA signature와 trust chain을 확인한다.

  3. Server가 certificate public key에 대응하는 private key를 가졌음을 handshake에서 증명한다.

  4. Domain control과 사람·회사에 대한 도덕적 신뢰를 구분한다.

  위 순서를 문제 문장 ‘TLS-Zertifikate를 발급하는 CA SecureDomainCertCA가 fixed domain address에 token을 두는 HTTP-Challenge를 사용한다. Eve는 어떻게 bob.net에 대한 TLS certificate를 받을 수 있는가?’에 적용하면, 이 문항의 핵심 결론은 Eve manipulates DNS/BGP/routing seen by the CA, serves the expected HTTP challenge token, and the CA incorrectly concludes control over bob.net.입니다.

• Internet의 길 안내: AS, prefix, BGP announcement을 이 문제에 대입하기

  각 AS를 도시, prefix를 동네, BGP announcement를 ‘이 동네로 가는 길은 우리 도시를 통과한다’는 안내판으로 생각하면 된다.

  1. 목적지 prefix가 무엇인지 찾는다.

  2. 누가 origin AS라고 주장하는지 확인한다.

  3. AS_PATH가 어떤 순서의 AS를 나타내는지 읽는다.

  4. 기본 BGP 정보가 항상 진실이라고 암호학적으로 보장되지는 않음을 기억한다.

  위 순서를 문제 문장 ‘TLS-Zertifikate를 발급하는 CA SecureDomainCertCA가 fixed domain address에 token을 두는 HTTP-Challenge를 사용한다. Eve는 어떻게 bob.net에 대한 TLS certificate를 받을 수 있는가?’에 적용하면, 이 문항의 핵심 결론은 Eve manipulates DNS/BGP/routing seen by the CA, serves the expected HTTP challenge token, and the CA incorrectly concludes control over bob.net.입니다.

• CA의 HTTP domain validation challenge을 이 문제에 대입하기

  집 소유를 확인하려고 임의의 문구를 현관에 붙이라고 했는데, 검사관이 가는 길을 공격자가 가짜 집으로 바꾸면 공격자가 문구를 보여 줄 수 있는 상황이다.

  1. 공격자가 bob.net certificate를 신청해 challenge token을 받는다.

  2. Token을 자신의 server에 준비한다.

  3. CA가 bob.net을 확인하는 동안 route 또는 DNS를 조작해 CA traffic을 공격자 server로 유도한다.

  4. CA가 token을 보고 통제권을 잘못 인정하면 certificate가 발급될 수 있다.

  위 순서를 문제 문장 ‘TLS-Zertifikate를 발급하는 CA SecureDomainCertCA가 fixed domain address에 token을 두는 HTTP-Challenge를 사용한다. Eve는 어떻게 bob.net에 대한 TLS certificate를 받을 수 있는가?’에 적용하면, 이 문항의 핵심 결론은 Eve manipulates DNS/BGP/routing seen by the CA, serves the expected HTTP challenge token, and the CA incorrectly concludes control over bob.net.입니다.