AP 과목 A 20: 사용자 인증·MFA·생체 인증·인가·접근 제어

2026년 시험 기준 · 개정/출처 확인 2026-10-21

학습 인덱스

1. 공식 범위와 용어 2. 인증 요소와 MFA 3. OTP·챌린지 응답·SSO 4. 인증과 인가 5. 최소 권한·직무 분리·RBAC 6. 접근 결정 추적 7. 생체 FAR/FRR 8. 비밀번호 저장과 전송 9. 시험 함정 10. 퀵 시트·복습 11. 문제

1. 공식 범위와 용어

IPA Ver.7.2에서 소프트웨어 > 운영체제의 운용·이용자 관리는 PDF 29 / 인쇄면 25, 조직적 취약성인 불충분한 직무 분장은 PDF 53 / 인쇄면 49, 인증·이용자 인증·생체 인증은 PDF 55 / 인쇄면 51, 계정 및 이용자 접근권 관리는 PDF 56 / 인쇄면 52다. PDF 페이지와 인쇄면 페이지는 서로 다른 번호다. AP19의 암호 내부·인증서 체인은 반복하지 않고, 공격 목록과 운영 방어는 AP21로 미룬다.

KO	JA	EN
인증	認証	authentication
인가	認可	authorization
지식 요소	知識要素	knowledge factor
소유 요소	所有要素	possession factor
생체(고유) 요소	生体要素	inherence/biometric factor
다요소 인증	多要素認証	multi-factor authentication (MFA)
일회용 비밀번호	ワンタイムパスワード	one-time password (OTP)
싱글 사인온	シングルサインオン	single sign-on (SSO)
최소 권한	最小権限	least privilege
직무 분리	職務分掌	separation of duties
역할 기반 접근 제어	ロールベースアクセス制御	role-based access control (RBAC)
타인 수락률 / 본인 거부율	他人受入率／本人拒否率	FAR / FRR

2. 인증 요소와 MFA

• 지식은 사용자가 아는 것: 비밀번호, PIN.
• 소유는 사용자가 가진 등록된 인증기·보안 키·OTP 장치의 통제 증명이다. 단순히 계정 이름을 아는 것은 소유가 아니다.
• 생체/고유는 사용자의 신체적 특성: 지문, 얼굴 등이다.

비밀번호 뒤 PIN을 입력하면 두 단계지만 둘 다 지식 요소라서 진정한 MFA가 아니다. 비밀번호와 등록된 보안 키의 소유 증명은 서로 다른 요소 범주이므로 MFA다. 화면 수가 아니라 독립된 요소 범주를 센다. 한 개의 다요소 인증기가 내부적으로 두 요소를 요구할 수도 있으므로 “인증기 하나 = 요소 하나”도 아니다. 다단계 인증은 순차 절차를 뜻하며, 서로 다른 요소를 요구할 때만 MFA가 된다.

3. OTP, 챌린지 응답과 SSO

• OTP는 한 번만 또는 짧은 시간만 유효한 비밀값이다. OTP 장치의 통제를 증명하면 보통 소유 요소가 되지만, OTP라는 이름만으로 전체 로그인 절차가 MFA가 되는 것은 아니다.
• 챌린지 응답은 검증자가 새 챌린지를 주고 인증기가 비밀/키의 통제를 증명하는 응답을 만든다. 고정 비밀번호를 그대로 재전송하는 것과 구별된다.
• SSO는 한 번의 인증·세션 또는 연합된 IdP의 주장을 여러 서비스에서 이용하는 방식이다. 반복 로그인을 줄이지만 각 서비스의 인가 판단까지 같게 만들지는 않는다. 보안 토큰은 그 주장을 전달할 수 있다.

이들은 기능 설명이다. 세부 암호 구조는 AP19, 공격·운영 방어 목록은 AP21의 범위다.

4. 인증과 인가

인증은 주장자가 특정 신원 또는 인증기의 통제권을 가졌음을 확립한다. 인가는 그 신원 문맥 또는 다른 정책 문맥을 이용해 어떤 자원에 어떤 동작을 허용할지 결정한다. 인증 성공은 모든 동작의 허가가 아니다. 반대로 공개 자료처럼 신원 확인 없이도 정책으로 읽기를 허용할 수 있으므로 인가는 개념상 인증과 독립될 수도 있다.

예를 들어 합성 사용자 Mina가 로그인에 성공해도 purchase:create 권한만 있으면 구매 요청은 만들 수 있지만 승인할 수 없다. 승인 여부는 별도 인가 결정이다.

5. 최소 권한, 직무 분리와 RBAC

• 최소 권한/need-to-know: 업무에 필요한 최소 동작·자원·기간만 부여한다.
• 직무 분리: 중요한 거래를 상충하는 역할에 나눠 한 사람이 전 과정을 단독 완료하지 못하게 한다.
• RBAC: 권한을 역할에, 사용자를 역할에 배정한다. 역할은 상호 배타적으로 제한할 수 있다.

구매 예에서 요청자 역할은 생성, 승인자 역할은 승인 권한을 갖는다. 같은 거래에서는 누구도 둘 다 수행하면 안 된다. RBAC를 썼다는 사실만으로 최소 권한이나 직무 분리가 자동 보장되지는 않는다. 과도한 역할 권한, 중복 역할 배정, 거래별 제약 누락을 정책과 설계로 막아야 한다.

6. 접근 결정 추적

합성 거래 PO-204, 금액 800,000원에 다음 정책을 적용한다.

1. Mina가 비밀번호와 등록 보안 키로 인증한다: 지식+소유의 MFA 성공.
2. 디렉터리는 Mina를 Requester 역할에 연결하고, 역할은 purchase:create만 가진다.
3. Mina가 PO-204를 생성한다: 필요한 권한이 있어 허용, 생성자=Mina를 기록한다.
4. Mina가 같은 거래의 승인을 시도한다: purchase:approve가 없어 거부한다.
5. Approver인 Jun이 인증하고 승인을 시도한다: 승인 권한이 있고 생성자와 다르므로 허용한다.
6. Jun도 Requester 역할을 가진 경우라도 “동일 거래의 생성자와 승인자는 달라야 한다”는 동적 직무 분리 제약을 별도로 검사한다.

이는 인증 결과, 역할 권한, 자원/동작, 거래 상태와 직무 분리 제약을 합친 인가 판단이다.

7. 생체 인증의 FAR와 FRR

여기서는 유사도 점수가 높을수록 더 닮았고, 점수 >= 임계값 T이면 수락한다고 선언한다. 동일한 고정 데이터·모집단·취득 조건에서 T를 높이면 수락이 엄격해지므로 측정 FAR은 증가하지 않고(비증가), FRR은 감소하지 않는다(비감소). T를 낮추면 방향이 반대다. 거리 점수처럼 낮을수록 닮은 시스템은 수락 부등호와 임계값 방향도 반대다.

• 타인 시도 100,000회 중 20회를 잘못 수락: FAR = 20 / 100,000 = 0.0002 = 0.02%.
• 본인 시도 2,000회 중 30회를 잘못 거부: FRR = 30 / 2,000 = 0.015 = 1.5%.

분모가 다르므로 FAR와 FRR을 더하지 않는다. 이 계산은 독립적으로 분수→소수→백분율을 확인했다. EER은 정의된 한 시험에서 FAR와 FRR이 같아지는 운용점이지 모든 환경에 통하는 보편 상수가 아니다. 예시는 합성 집계치이며 실제 생체·개인 데이터를 쓰지 않는다.

8. 비밀번호 저장과 전송 보호

저장 시에는 비밀번호마다 고유한 무작위 salt를 만들고 PBKDF2, bcrypt, scrypt, Argon2 같은 비밀번호용 느린/적응형 KDF로 verifier를 계산한다. salt는 verifier와 함께 저장하며 비밀일 필요가 없다. 로그인 때 같은 salt와 설정으로 재계산해 비교한다. 예시 알고리즘은 보편적인 단일 매개변수 처방이 아니며 구체 선택은 정책·환경에 맞춘다.

TLS 같은 전송 암호화는 네트워크 이동 중 자격 증명을 보호하지만 저장된 verifier를 대신하지 않는다. 반대로 salted slow verifier도 전송 보호를 대신하지 않는다. 복호화 가능한 비밀번호 암호화는 salted slow verifier의 대체물이 아니다. 해시·암호 내부는 AP19의 범위다.

9. 시험 함정

• 단계 수와 요소 범주 수를 혼동하지 않는다. 비밀번호+PIN은 2단계 1요소다.
• 인증 성공과 권한 부여를 혼동하지 않는다. SSO도 서비스별 인가를 없애지 않는다.
• RBAC 자체가 최소 권한·직무 분리를 자동 보장한다고 하지 않는다.
• 유사도 점수인지 거리 점수인지, 수락 부등호가 무엇인지 먼저 확인한다.
• FAR의 분모는 타인 시도, FRR의 분모는 본인 시도다.
• TLS와 안전한 저장은 서로 다른 구간을 보호한다.

10. 퀵 시트·셀프 체크·1/3/7일 복습

• 퀵 시트: 지식=암호/PIN, 소유=등록 기기/키, 생체=지문/얼굴; 인증=누구/통제권, 인가=무엇을 허용; RBAC=사용자→역할→권한; 유사도 수락 score>=T, T↑이면 FAR↘/동일·FRR↗/동일.
• 셀프 체크: 비밀번호+PIN이 MFA가 아닌 이유, SSO와 인가의 차이, 구매 추적의 두 거부 조건, FAR/FRR 분모, salt와 TLS의 서로 다른 역할을 설명할 수 있는가?
• 1일차: 요소 표와 접근 추적을 다시 쓴다. 3일차: 수치 예와 임계값 방향을 보지 않고 계산한다. 7일차: 5문제를 다시 풀고 모든 오답 이유를 설명한다.

11. 오리지널 4지선다 5문제

Q1

진정한 MFA인 것은? ア 비밀번호 뒤 다른 비밀번호. イ PIN 뒤 보안 질문 답. ウ 비밀번호와 등록 보안 키의 소유 증명. エ 같은 비밀번호를 두 화면에 입력.

정답: ウ(3). ア는 지식+지식이다. イ도 지식+지식이다. ウ는 지식+소유라는 서로 다른 범주다. エ는 화면만 둘이고 하나의 지식이다.

Q2

인증과 인가의 설명으로 옳은 것은? ア 로그인 성공은 모든 자원 접근을 허용한다. イ 인증은 신원/인증기 통제를 확립하고 인가는 동작·자원 허용 여부를 결정한다. ウ 인가는 반드시 비밀번호를 검사한다. エ SSO는 모든 서비스 권한을 같게 만든다.

정답: イ(2). ア는 인증을 전권으로 오해한다. イ는 두 결정을 정확히 구분한다. ウ는 인가를 인증 절차와 혼동한다. エ는 공통 로그인과 서비스별 정책을 혼동한다.

Q3

유사도 score >= T를 수락하고 고정된 시험에서 타인 100,000회 중 20회 수락, 본인 2,000회 중 30회 거부했다. 옳은 것은? ア FAR 0.2%, FRR 15%이며 T를 높이면 둘 다 감소한다. イ FAR 0.02%, FRR 1.5%이며 T를 높이면 둘 다 증가한다. ウ FAR 1.5%, FRR 0.02%이며 T를 높이면 FAR가 증가한다. エ FAR 0.02%, FRR 1.5%이며 T를 높이면 FAR은 비증가, FRR은 비감소한다.

정답: エ(4). ア는 두 비율을 10배 크게 계산하고 방향도 틀렸다. イ는 수치는 맞지만 FAR 방향이 틀렸다. ウ는 분모를 바꾸고 방향도 틀렸다. エ는 계산과 유사도 임계값 방향이 모두 맞다.

Q4

구매 RBAC와 직무 분리 설계로 가장 적절한 것은? ア 생성 권한은 요청자 역할, 승인 권한은 승인자 역할에 주고 동일 거래의 생성자와 승인자가 다르도록 정책 제약을 검사한다. イ 모든 역할에 생성·승인을 주면 RBAC가 자동 분리한다. ウ 한 사용자에게 두 역할을 주면 모든 거래에서 자동 최소 권한이다. エ 인증만 성공하면 역할 검사를 생략한다.

정답: ア(1). ア는 역할 권한과 거래별 분리 제약을 함께 적용한다. イ는 RBAC의 자동 보장을 잘못 가정한다. ウ는 과도한 권한과 충돌 가능성을 무시한다. エ는 인증과 인가를 혼동한다.

Q5

비밀번호 보호로 옳은 것은? ア TLS만 쓰면 서버는 평문 비밀번호를 저장해도 된다. イ 모든 비밀번호에 같은 salt를 쓰고 빠른 해시 한 번이면 충분하다. ウ 비밀번호별 무작위 salt와 느린/적응형 KDF verifier를 저장하고 TLS도 사용해 전송을 별도로 보호한다. エ 복호화 가능한 저장 암호가 항상 verifier보다 낫다.

정답: ウ(3). ア는 저장 위험을 남긴다. イ는 고유 salt와 의도적인 비용을 빠뜨린다. ウ는 저장과 전송의 서로 다른 보호를 모두 적용한다. エ는 원래 비밀번호 복구가 가능한 설계를 대체물로 오해한다.

정답표: [3, 2, 4, 1, 3] = [ウ, イ, エ, ア, ウ]

공식 출처와 고지

1차 출처, 2026-10-21 확인: IPA syllabus Ver.7.2, NIST SP 800-63B-4, NIST SP 800-63C-4, NIST SP 800-53 Rev.5 Update 1. NIST RBAC project는 보관(archived)된 기초 프로젝트 페이지이며 여기서는 사용자→역할→권한 모델의 배경에만 사용했다.

이 독립 집필 학습 자료는 IPA나 NIST와 제휴하지 않았다. 기출문제, 제3자 해설, 실제 개인·생체 데이터를 사용하지 않았으며 합격을 보장하지 않는다.