3.1. Multiple Choice

해설을 보지 말고 주어진 정보 → 구할 것 → 사용할 공식·판정 관계를 한 줄씩 복원하세요.

SameSite 속성은 cross-site 요청에 cookie가 전송되는 것을 막는다.

정답 문장만 말하지 말고 근거·중간값·메시지 흐름 중 이 문항에 필요한 것을 빈 종이에 남기세요.

작성한 뒤에만 아래 기준을 열고, 실제로 쓴 항목만 체크하세요.

• Strict, Lax, None의 차이를 말해 보라.
• 원문의 판정을 반대로 만들 수 있는 최소 조건 변경 하나를 제시하고, 바뀐 문장이 정의의 어느 조건을 만족하는지 설명하세요.

조건 변형: 원문의 강한 표현(예: muss, immer, vollständig)을 조건부 표현으로 하나 고쳐 쓰고, 그 변경 뒤에는 판정이 왜 달라지거나 유지되는지 반례와 함께 설명하세요.

고칠 답안: SameSite라는 속성이 존재하기만 하면 모든 cross-site 전송이 차단된다고 단정하지 않는다.

복구 힌트: SameSite는 값에 따라 동작한다. Strict는 강하게 제한하지만 Lax는 일부 top-level navigation을 허용하고 None은 cross-site 전송을 허용한다.

오답의 첫 잘못된 전제를 한 줄로 지우고, 올바른 조건과 결론을 두 줄로 다시 쓰세요.

채점 전 예상과 실제 채점 결과가 달랐는지 확인한 뒤 상태를 남기세요. ‘숙달’은 근거와 중간 과정까지 무힌트로 재현했을 때만 선택합니다.

해설을 보지 말고 주어진 정보 → 구할 것 → 사용할 공식·판정 관계를 한 줄씩 복원하세요.

HttpOnly cookie는 오직 브라우저의 JavaScript 환경 안에서만 읽을 수 있게 한다.

정답 문장만 말하지 말고 근거·중간값·메시지 흐름 중 이 문항에 필요한 것을 빈 종이에 남기세요.

작성한 뒤에만 아래 기준을 열고, 실제로 쓴 항목만 체크하세요.

• HttpOnly가 XSS 자체를 막는가, 아니면 cookie 탈취 피해를 줄이는가?
• 원문의 판정을 반대로 만들 수 있는 최소 조건 변경 하나를 제시하고, 바뀐 문장이 정의의 어느 조건을 만족하는지 설명하세요.

조건 변형: 원문의 강한 표현(예: muss, immer, vollständig)을 조건부 표현으로 하나 고쳐 쓰고, 그 변경 뒤에는 판정이 왜 달라지거나 유지되는지 반례와 함께 설명하세요.

고칠 답안: HttpOnly를 'JavaScript 전용'으로 뒤집어 외우지 않는다.

복구 힌트: HttpOnly는 정반대로 JavaScript의 document.cookie 접근을 막고 HTTP(S) 요청에는 브라우저가 cookie를 붙일 수 있게 한다.

오답의 첫 잘못된 전제를 한 줄로 지우고, 올바른 조건과 결론을 두 줄로 다시 쓰세요.

채점 전 예상과 실제 채점 결과가 달랐는지 확인한 뒤 상태를 남기세요. ‘숙달’은 근거와 중간 과정까지 무힌트로 재현했을 때만 선택합니다.

해설을 보지 말고 주어진 정보 → 구할 것 → 사용할 공식·판정 관계를 한 줄씩 복원하세요.

parameterized query는 SQL injection에 효과적인 server-side 방어다.

정답 문장만 말하지 말고 근거·중간값·메시지 흐름 중 이 문항에 필요한 것을 빈 종이에 남기세요.

작성한 뒤에만 아래 기준을 열고, 실제로 쓴 항목만 체크하세요.

• 문자열 연결과 prepared statement의 데이터 흐름 차이는?
• 원문의 판정을 반대로 만들 수 있는 최소 조건 변경 하나를 제시하고, 바뀐 문장이 정의의 어느 조건을 만족하는지 설명하세요.

조건 변형: 원문의 강한 표현(예: muss, immer, vollständig)을 조건부 표현으로 하나 고쳐 쓰고, 그 변경 뒤에는 판정이 왜 달라지거나 유지되는지 반례와 함께 설명하세요.

고칠 답안: stored procedure라는 이름만으로 안전한 것은 아니며 내부에서도 parameter binding을 해야 한다.

복구 힌트: SQL 구조와 사용자 값을 별도로 전달하면 입력이 SQL 명령으로 재해석되지 않는다. 단순 문자열 연결을 하지 않아야 한다.

오답의 첫 잘못된 전제를 한 줄로 지우고, 올바른 조건과 결론을 두 줄로 다시 쓰세요.

채점 전 예상과 실제 채점 결과가 달랐는지 확인한 뒤 상태를 남기세요. ‘숙달’은 근거와 중간 과정까지 무힌트로 재현했을 때만 선택합니다.

해설을 보지 말고 주어진 정보 → 구할 것 → 사용할 공식·판정 관계를 한 줄씩 복원하세요.

SOP는 script가 기본적으로 임의의 다른 domain 데이터를 읽도록 허용한다.

정답 문장만 말하지 말고 근거·중간값·메시지 흐름 중 이 문항에 필요한 것을 빈 종이에 남기세요.

작성한 뒤에만 아래 기준을 열고, 실제로 쓴 항목만 체크하세요.

• CORS는 SOP를 없애는가, 서버가 제한적으로 완화하는가?
• 원문의 판정을 반대로 만들 수 있는 최소 조건 변경 하나를 제시하고, 바뀐 문장이 정의의 어느 조건을 만족하는지 설명하세요.

조건 변형: 원문의 강한 표현(예: muss, immer, vollständig)을 조건부 표현으로 하나 고쳐 쓰고, 그 변경 뒤에는 판정이 왜 달라지거나 유지되는지 반례와 함께 설명하세요.

고칠 답안: 요청 전송 가능 여부와 응답 읽기 가능 여부를 혼동하지 않는다.

복구 힌트: SOP는 scheme, host, port로 정의되는 origin이 다르면 응답 데이터 읽기를 기본적으로 제한한다.

오답의 첫 잘못된 전제를 한 줄로 지우고, 올바른 조건과 결론을 두 줄로 다시 쓰세요.

채점 전 예상과 실제 채점 결과가 달랐는지 확인한 뒤 상태를 남기세요. ‘숙달’은 근거와 중간 과정까지 무힌트로 재현했을 때만 선택합니다.

해설을 보지 말고 주어진 정보 → 구할 것 → 사용할 공식·판정 관계를 한 줄씩 복원하세요.

SSRF는 server가 내부 resource에 권한 없는 요청을 보내도록 만드는 공격이다.

정답 문장만 말하지 말고 근거·중간값·메시지 흐름 중 이 문항에 필요한 것을 빈 종이에 남기세요.

작성한 뒤에만 아래 기준을 열고, 실제로 쓴 항목만 체크하세요.

• SSRF에서 공격자가 서버의 네트워크 위치를 악용하는 이유는?
• 원문의 판정을 반대로 만들 수 있는 최소 조건 변경 하나를 제시하고, 바뀐 문장이 정의의 어느 조건을 만족하는지 설명하세요.

조건 변형: 원문의 강한 표현(예: muss, immer, vollständig)을 조건부 표현으로 하나 고쳐 쓰고, 그 변경 뒤에는 판정이 왜 달라지거나 유지되는지 반례와 함께 설명하세요.

고칠 답안: SSRF를 피해자 browser가 요청하는 CSRF와 섞지 않는다.

복구 힌트: 공격자가 서버의 URL fetch 기능을 조종해 외부에서 직접 닿지 않는 localhost, metadata service, 내부 API에 서버 대신 요청하게 한다.

오답의 첫 잘못된 전제를 한 줄로 지우고, 올바른 조건과 결론을 두 줄로 다시 쓰세요.

채점 전 예상과 실제 채점 결과가 달랐는지 확인한 뒤 상태를 남기세요. ‘숙달’은 근거와 중간 과정까지 무힌트로 재현했을 때만 선택합니다.

해설을 보지 말고 주어진 정보 → 구할 것 → 사용할 공식·판정 관계를 한 줄씩 복원하세요.

HSTS는 CSRF를 완전히 막는 장치다.

정답 문장만 말하지 말고 근거·중간값·메시지 흐름 중 이 문항에 필요한 것을 빈 종이에 남기세요.

작성한 뒤에만 아래 기준을 열고, 실제로 쓴 항목만 체크하세요.

• CSRF token과 SameSite는 어떤 문제를 겨냥하는가?
• 원문의 판정을 반대로 만들 수 있는 최소 조건 변경 하나를 제시하고, 바뀐 문장이 정의의 어느 조건을 만족하는지 설명하세요.

조건 변형: 원문의 강한 표현(예: muss, immer, vollständig)을 조건부 표현으로 하나 고쳐 쓰고, 그 변경 뒤에는 판정이 왜 달라지거나 유지되는지 반례와 함께 설명하세요.

고칠 답안: 전송 보안과 요청의 의도·출처 검증을 같은 목표로 보지 않는다.

복구 힌트: HSTS는 browser가 해당 site에 HTTPS만 사용하도록 강제해 downgrade를 줄인다. 사용자의 인증 cookie를 악용한 위조 요청인 CSRF의 직접 방어는 아니다.

오답의 첫 잘못된 전제를 한 줄로 지우고, 올바른 조건과 결론을 두 줄로 다시 쓰세요.

채점 전 예상과 실제 채점 결과가 달랐는지 확인한 뒤 상태를 남기세요. ‘숙달’은 근거와 중간 과정까지 무힌트로 재현했을 때만 선택합니다.

해설을 보지 말고 주어진 정보 → 구할 것 → 사용할 공식·판정 관계를 한 줄씩 복원하세요.

SRI hash는 CDN에서 읽은 script의 integrity를 확인하는 데 사용된다.

정답 문장만 말하지 말고 근거·중간값·메시지 흐름 중 이 문항에 필요한 것을 빈 종이에 남기세요.

작성한 뒤에만 아래 기준을 열고, 실제로 쓴 항목만 체크하세요.

• SRI의 기대 hash는 어디에 저장되는가?
• 원문의 판정을 반대로 만들 수 있는 최소 조건 변경 하나를 제시하고, 바뀐 문장이 정의의 어느 조건을 만족하는지 설명하세요.

조건 변형: 원문의 강한 표현(예: muss, immer, vollständig)을 조건부 표현으로 하나 고쳐 쓰고, 그 변경 뒤에는 판정이 왜 달라지거나 유지되는지 반례와 함께 설명하세요.

고칠 답안: SRI가 CDN을 비밀로 만들거나 availability를 보장한다고 쓰지 않는다.

복구 힌트: 브라우저는 다운로드한 외부 resource의 hash를 HTML integrity 속성의 기대값과 비교해 변조된 파일 실행을 거부할 수 있다.

오답의 첫 잘못된 전제를 한 줄로 지우고, 올바른 조건과 결론을 두 줄로 다시 쓰세요.

채점 전 예상과 실제 채점 결과가 달랐는지 확인한 뒤 상태를 남기세요. ‘숙달’은 근거와 중간 과정까지 무힌트로 재현했을 때만 선택합니다.

해설을 보지 말고 주어진 정보 → 구할 것 → 사용할 공식·판정 관계를 한 줄씩 복원하세요.

CSP는 웹페이지가 신뢰할 script, style, data source를 정의한다.

정답 문장만 말하지 말고 근거·중간값·메시지 흐름 중 이 문항에 필요한 것을 빈 종이에 남기세요.

작성한 뒤에만 아래 기준을 열고, 실제로 쓴 항목만 체크하세요.

• script-src와 default-src의 역할 차이는?
• 원문의 판정을 반대로 만들 수 있는 최소 조건 변경 하나를 제시하고, 바뀐 문장이 정의의 어느 조건을 만족하는지 설명하세요.

조건 변형: 원문의 강한 표현(예: muss, immer, vollständig)을 조건부 표현으로 하나 고쳐 쓰고, 그 변경 뒤에는 판정이 왜 달라지거나 유지되는지 반례와 함께 설명하세요.

고칠 답안: CSP를 안전한 output encoding의 대체품으로 쓰지 않는다.

복구 힌트: CSP directive는 브라우저가 어떤 source의 script·style·연결을 허용할지 제한해 injection 피해를 줄이는 방어층이다.

오답의 첫 잘못된 전제를 한 줄로 지우고, 올바른 조건과 결론을 두 줄로 다시 쓰세요.

채점 전 예상과 실제 채점 결과가 달랐는지 확인한 뒤 상태를 남기세요. ‘숙달’은 근거와 중간 과정까지 무힌트로 재현했을 때만 선택합니다.