일부 PC에서 Windows 11 보안 부팅 2023 업데이트가 실패하여 펌웨어 관련 광범위한 문제가 드러났습니다.

2011년 처음 도입된 이후, 시큐어 부트(Secure Boot)는 조용히 PC 생태계를 지원해 왔지만, 2023년부터 2025년까지는 마이크로소프트, OEM 업체, 펌웨어 공급업체들의 심기를 불편하게 할 정도로 예상치 못한 주목을 받았습니다.한때는 눈에 띄지 않는 보안 기능이었던 시큐어 부트는 CA-2023 인증서 배포로 인해 PC 업계 전반에 걸쳐 펌웨어 구현, 인증서 관리, 업데이트 프로세스에서 지속적인 불일치가 드러나면서 갑자기 주요 뉴스로 떠올랐습니다.불행히도 그 결과는 유익하지도, 유쾌하지도 않았습니다.

윈도우 사용자들은 혼란스러운 부팅 경고, 부팅 과정의 오류, 그리고 공급업체들의 불분명하거나 모순된 조언 등 당혹스러운 문제들에 직면했습니다.보안 부팅은 신뢰와 안정성을 증진시키기는커녕 오히려 불확실성과 좌절감을 더하는 결과를 낳았습니다.

이 글에서는 Secure Boot를 둘러싼 복잡한 문제들을 풀어보며, 그 기능, 중요성, CA-2023의 의미, 벤더의 실수, 그리고 Secure Boot 업데이트 실패를 겪는 사용자를 위한 실질적인 해결책을 다룹니다.모든 약어를 쉽게 설명하고, 신뢰 체인을 자세히 안내하며, CA-2023 부팅 인증서를 사용하여 10~15대의 PC를 Secure Boot 규정에 맞추는 과정에서 얻은 경험을 공유합니다.이 경험은 Secure Boot에 대한 저의 이해를 넓히는 데 매우 중요한 역할을 했습니다.

보안 부팅 및 그 중요성 이해하기

인텔의 최신 BIOS 대체 기술인 UEFI(Unified Extensible Firmware Interface)에서 정의하는 핵심 구성 요소인 보안 부팅(Secure Boot)은 시스템 시작 시 신뢰할 수 있고 서명된 부트로더 및 운영 체제 구성 요소만 실행되도록 설계되었습니다.

Windows 보안 대시보드는 하드웨어 보안 기능이 활성화되어 있는지 확인하는 데 도움이 됩니다. — Windows 보안 대시보드에 표시된 보안 부팅 기능

보안 부팅 프로세스는 펌웨어에 저장된 암호화 키 모음을 기반으로 하며, 이 키를 통해 허용되는 작업과 금지되는 작업의 적법성을 판단합니다.

보안 부팅의 주요 구성 요소

플랫폼 키(PK) : 시스템 소유자의 기본 식별자로, 일반적으로 OEM 업체에서 제조 과정에서 설치합니다. PK 소유자는 보안 부팅 설정을 제어합니다.

키 교환 키(KEK) : 이 키는 보안 부팅 데이터베이스 업데이트를 관리합니다.일반적으로 Microsoft, OEM 또는 기업 관리자가 관리하며, 유효한 KEK를 통해 인증된 타사에서 UEFI에서 관리하는 인증서 및 데이터베이스를 업데이트할 수 있습니다.

허용된 서명 데이터베이스(DB) : 신뢰할 수 있는 부트로더 및 OS 구성 요소에 대한 해시와 인증서를 포함합니다.서명이 DB의 항목과 일치하면 펌웨어는 해당 부트로더의 실행을 허용합니다.

금지 서명 데이터베이스(DBX) : 이 목록은 이전에 신뢰받았지만 현재 손상된 모든 항목을 차단합니다.취약한 부트로더를 폐기하려면 DBX 업데이트가 필수적입니다. CA-2011은 이러한 폐기 프로세스를 시작했으며, 마이크로소프트는 2026년에 CA-2011을 단계적으로 폐지하고 CA-2023을 점진적으로 도입할 계획입니다.

보안 부팅이 필수적인 이유는 무엇입니까?

보안 부팅은 루트킷, 부트킷 및 기타 운영 체제 설치 전 악성코드 위협을 방지하는 데 중점을 둡니다.공격자가 부팅 과정에 접근하게 되면 탐지를 피하고 은밀하게 활동할 수 있습니다.보안 부팅은 이러한 침입에 대한 중요한 보호 장치를 제공합니다.

보안 부팅은 이론적으로는 강력한 솔루션이지만, 실제 구현은 종종 복잡하고 파편화되어 있습니다.그 중요성이 커지고 있는 가운데, 제대로 작동할 때는 효과적이지만, 사용자에게 시간 낭비와 불편함을 초래하는 문제가 발생할 수 있습니다.

주목을 불러일으킨 CA-2023 타협안

2023년 초, 마이크로소프트는 구형 윈도우 부트 관리자 바이너리에서 보안 부팅 프로토콜을 우회할 수 있는 심각한 보안 취약점을 공개했습니다.이에 대응하여 마이크로소프트는 CA-2023 DBX 인증서 폐지 업데이트를 출시하여 결함이 있는 부트로더의 작동을 차단하고, 이러한 취약점에 대한 저항력이 있는 새로운 서명된 부트로더와 일치하는 인증서를 도입했습니다.

이 조치의 배경

악의적인 공격자들이 보안 부팅 보호 기능을 우회하기 위해 구형 부트로더를 악용하기 시작했습니다.따라서 이러한 바이너리를 폐기하는 것은 생태계의 무결성을 유지하는 데 매우 중요했습니다.

이것이 시스템을 손상시킨 이유는 무엇일까요?

수많은 OEM 업체들이 다음과 같은 문제에 직면했습니다.

오래된 펌웨어 구성
DB/DBX 구현이 고르지 않음
결함 있는 업데이트 프로세스
비표준 보안 부팅 구현
키 구성이 불완전하거나 잘못되었습니다.
펌웨어에서 DBX 업데이트를 무시함
DBX 업데이트 후 펌웨어 문제로 시스템이 완전히 먹통이 되는 현상 발생

이번 라이선스 취소 과정에서 수년간 해결되지 않은 기술적 부채가 드러났습니다.업데이트를 시도하는 것만으로도 심각한 오류가 발생하여 PC가 재시작되지 않거나, 심한 경우 아예 부팅조차 되지 않는 경우가 빈번했습니다.

CA-2023의 여파

수백만 대의 컴퓨터에서 다음과 같은 하나 이상의 문제가 발생했습니다.

보안 부팅이 활성화되었지만 권한 취소가 적용되지 않습니다.
업데이트 실패로 인해 보안 부팅이 비활성화되었습니다.
보안 부팅이 키 불일치로 인해 “사용자 모드”에서 멈췄습니다.
DBX 업데이트 이후 시스템이 부팅되지 않음
CA-2023 업데이트 적용을 거부하는 펌웨어

이러한 혼란은 마이크로소프트에만 국한된 것이 아니라 업계 전반의 총체적인 결함을 나타내는 것이었습니다.영향을 받은 시스템을 사용하는 사용자들은 수많은 문제에 직면했습니다.예를 들어, 저의 ASRock B550 Extreme4 기반 라이젠 5 PC는 여러 가지 문제를 일으켜 결국 메인보드를 교체해야 했습니다.

“보안 부트 체인” 해독하기

CA-2023 사태가 야기한 혼란을 이해하기 위해서는 신뢰 사슬을 체계적으로 검토해야 합니다.

펌웨어는 PK의 유효성을 확인합니다.
펌웨어는 DB 및 DBX 업데이트를 위한 KEK를 인증합니다.
펌웨어는 허용된 작업과 금지된 작업을 정의하는 DB 및 DBX 데이터베이스를 로드합니다.
펌웨어는 부트로더를 검증합니다.검증된 부트로더가 데이터베이스의 항목과 일치하고 DBX에 해당 항목이 없으면 실행이 진행됩니다.
부트로더는 운영체제 구성 요소를 검사하고, winload.efi드라이버 및 다양한 초기 부팅 구성 요소의 서명을 검증합니다.
OS가 신뢰도 검증을 거쳐 부팅되고 정상적인 작동이 시작됩니다.

하지만 이러한 절차에는 여러 가지 문제가 발생할 가능성이 높습니다.다음과 같은 수많은 문제가 프로세스를 방해할 수 있습니다.

데이터베이스에 서명이 누락되었습니다.
구식 KEK
잘못된 PK
펌웨어 업데이트 처리 오류
부트로더 불일치(Windows가 EFI 파티션의 복사본과 저장된 인스턴스가 서로 다른 복사본을 사용할 수 있기 때문 C:\Windows)

이러한 불일치로 인해 Secure Boot가 의도치 않게 보안 프로토콜을 제대로 적용하지 못할 수 있습니다.예를 들어, 제 시스템에서는 “CPU 변경”에 대한 잘못된 메시지가 표시되어 부팅 과정이 더욱 복잡해졌습니다.

메인보드 제조사별 일반적인 보안 부팅 문제점

CA-2023 배포 과정에서 여러 제조사 간 펌웨어 성능 차이가 두드러지게 나타났습니다.일부 기기는 완벽하게 작동한 반면, 다른 기기들은 사소한 문제부터 완전한 오류에 이르기까지 다양한 어려움을 겪었습니다.각 제조사가 이러한 어려움을 어떻게 해결했는지 분석해 보겠습니다.

ASUS: 많은 ASUS 메인보드는 초기에 DBX 업데이트를 적용하기 위해 보안 부팅을 비활성화해야 했기 때문에 역설적인 상황이 발생했습니다.또한, 업데이트 후 시스템이 “부분적으로 권한이 취소된” 상태로 남는 경우도 있었습니다.

MSI: 몇몇 MSI 메인보드에서 다음과 같은 문제가 발생했습니다.

DBX 업데이트 처리 방식의 일관성 부족
펌웨어가 업데이트를 무시합니다
보안 부팅 모드가 UI 레이블과 일치하지 않습니다.
예기치 않게 공장 초기 설정으로 되돌아감

ASRock: 사용자들은 다음과 같은 수동 개입이 필요한 경우가 많았습니다.

키 클리어링
공장 초기 설정 복원
마이크로소프트 키 재등록
수동 DBX 업데이트 애플리케이션

문서가 불충분한 경우가 많아 많은 사용자가 혼란스러워했습니다.예를 들어, 겉보기에는 동일해 보이는 제 B550 Extreme4 메인보드 두 개가 업데이트 과정에서 완전히 다른 결과를 보여 상당한 불편을 겪었습니다.

OEM 업체(델, HP, 레노버 등): 일반적으로 상황을 더 잘 처리했지만 여전히 다음과 같은 문제에 직면했습니다.

불균등한 출시 일정
BIOS/UEFI 업데이트 일정이 일관적이지 않음
DBX 변경을 위해 여러 번 재부팅이 필요한 시스템

answers.microsoft.com, TenForums.com, TechPowerUp.com과 같은 포럼을 조사해 보니, 많은 사용자들이 노트북과 데스크톱 모두에서, 특히 맞춤형 시스템이나 고급 모델에서 보안 부팅(Secure Boot) 관련 문제를 겪고 있다고 보고했습니다.많은 사용자들이 해결책을 찾으려 애쓰면서도 침묵을 지키고 있었습니다.

보안 부팅 업데이트 실패 해결

시스템 정보(msinfo32)를 사용하여 보안 부팅 상태를 확인합니다. — Windows에서 시스템 정보 유틸리티를 사용하여 보안 부팅 상태를 확인하는 방법

보안 부팅이 실패하면 Windows 업데이트가 성공적으로 완료되었다고 표시되지만 실제로는 DBX(폐지 목록)가 변경되지 않는 상황이 발생할 수 있습니다.시스템은 보안 부팅이 활성화된 것처럼 보이지만 실제로는 제약 조건을 적용하지 못하거나 규정 준수 검사 없이 부팅될 수 있습니다.이로 인해 부트로더 불일치 및 기타 문제가 발생할 수 있으며, 불안정한 하드웨어로 인해 문제가 더욱 악화될 수 있습니다.

키 불일치(PK/KEK/DB/DBX) : PK 또는 KEK가 오래된 경우 펌웨어에서 데이터베이스 업데이트를 수락하지 못할 수 있습니다.권장 해결 방법은 다음과 같습니다.

공장 초기화 또는 기본 키로 재설정(일반적으로 UEFI에서 보안 부팅이 사용자 지정 모드일 때 접근 가능)
Microsoft 제품 키를 다시 등록하세요(Microsoft 업데이트를 다시 적용하면 이 과정이 필요할 수 있습니다).

펌웨어가 DB 또는 DBX 업데이트를 무시하는 경우 : 일부 PC에서는 업데이트를 활성화하기 위해 특정 조치가 필요할 수 있습니다.예를 들어, 보안 부팅을 일시적으로 비활성화하거나 호환성 지원 모듈(CSM)을 비활성화해야 할 수 있습니다.해결 방법을 찾으려면 다양한 설정을 시도해 보는 것이 필요할 수 있습니다.

구형 부트로더 : 이전 버전의 Windows 설치 미디어를 사용하면 보안 부팅 표준을 더 이상 준수하지 않는 부트로더가 사용될 수 있습니다. Microsoft가 CA-2011 구성 요소를 점차 폐지함에 따라 이러한 문제는 더욱 심각해질 것입니다.권장되는 복구 방법은 다음과 같습니다.

Windows 업데이트를 실행하여 오래된 부트로더를 최신 버전으로 교체하십시오.
bcdboot유틸리티를 사용하여 부트 파일을 재구성합니다.
EFI 파티션이 정상적으로 작동하는지 확인하고 필요한 경우 복구하십시오.

펌웨어 버그 또는 이상 현상 : 특히 구형 기기의 경우, 보안 부팅을 시작하기 전에 UEFI를 업데이트하거나 플래싱하는 것이 좋습니다.펌웨어 업데이트가 있는 경우 다음 권장 사항을 고려하십시오.

최신 안정 버전 펌웨어를 사용하십시오.
보안 부팅 데이터베이스 변경 사항에 대해 공급업체에서 제공하는 업데이트 또는 캡슐을 적용하십시오.
펌웨어 업데이트가 완료되면 Windows Update가 작동하도록 허용하세요.

체계적인 접근 방식을 따르고 펌웨어 및 Windows 업데이트를 강조함으로써 사용자는 보안 부팅 관련 문제 발생 위험을 줄일 수 있습니다.

보안 부팅 문제 해결을 위한 커뮤니티 도구 활용

CA-2023 배포는 커뮤니티 주도 솔루션의 등장을 촉진하여 사용자 경험을 향상시켰습니다.특히, 커뮤니티 회원인 Garlin은 사용자를 크게 지원하는 유용한 PowerShell 스크립트를 개발하여 펌웨어의 기본 작동 방식을 파악하는 데 큰 진전을 이루었습니다.

그의 스크립트는 다음과 같은 다양한 기능을 제공합니다.

보안 부팅 키 열거
DB/DBX 항목 유효성 검사
부트로더 불일치 감지
집행 상태 확인
상세 시스템 보고서 생성

MSI MAG B550 데스크톱 PC에서 Check_UEFI-CA2023.ps1의 출력 결과입니다. — MSI MAG B550 데스크톱에서 Check_UEFI-CA2023.ps1 스크립트 실행 결과

Garlin의 스크립트 출력 결과는 CA 2011 및 CA 2023 키 교환 키(KEK)와 UEFI CA 2011 및 여러 CA 2023 항목이 모두 존재함을 보여줍니다. DBX 인증서는 없지만, 이 출력 결과는 현재 상태를 효과적으로 보여줍니다.

이 스크립트의 중요성 : 대부분의 벤더는 PC의 보안 부팅 상태를 완벽하게 파악할 수 있는 기능을 제한적으로 제공하며, 펌웨어 인터페이스의 일관성 부족으로 진단이 어렵습니다. Garlin의 스크립트는 보안 부팅 프로세스를 명확하게 이해하고 필요한 업데이트 및 수정 사항에 대한 심층적인 정보를 제공하는 데 핵심적인 역할을 합니다.

보안 부팅이 업데이트를 적용하지 못할 경우의 해결 방법

다음은 보안 부팅 기능을 복원하기 위한 구조화된 워크플로입니다.

현재 상태 확인 : PowerShell 또는 Garlin의 스크립트를 사용하여 조사하십시오.

PK
케크
DB
DBX
집행 현황
부트로더 버전

펌웨어 업데이트 : 최신 BIOS/UEFI 업데이트 파일을 다운로드하여 설치하십시오.

키를 공장 초기 설정으로 재설정 : 보안 부팅을 일시적으로 비활성화하고 사용자 지정 모드로 설정한 다음 공장 초기 키를 복원하거나 재설정합니다.

보안 부팅 재활성화 : 보안 부팅이 제대로 작동하려면 CSM이 비활성화되어 있는지 확인하십시오.

DBX 업데이트 적용 : Windows 업데이트 또는 공급업체 캡슐을 활용하여 업데이트를 구현하십시오.

부팅 파일 재구축(필요한 경우) : bcdboot C:\Windows /f UEFI필요에 따라 부팅 파일을 다시 생성하려면 이 명령을 실행하십시오.

상태 재확인 : Garlin의 스크립트를 사용하여 DBX에 CA 2023 항목이 포함되어 있는지 확인합니다.

기본 설정으로 인해 PowerShell 스크립트 실행이 차단되었습니다. — 타사에서 제공하는 PowerShell 스크립트를 실행하려면 차단 해제가 필요할 수 있습니다.

보안 부팅 개선을 위한 권장 사항

CA 2023의 도입과 보안 부팅(Secure Boot) 규정 준수 현대화를 위한 지속적인 노력은 고무적인 결과를 가져왔지만, 동시에 시스템 내의 심각한 결함과 불일치도 드러냈습니다. OEM 업체들은 펌웨어 구현의 표준화와 일관성을 개선하고, 더 나은 문서화 및 문제 해결 지침을 제공해야 합니다.

현재 업데이트 프로세스는 불안정하여 정상적인 기능에 영향을 미치는 문제가 발생할 위험이 있습니다.저는 ASRock 마더보드에서 업데이트 과정에서 상당한 어려움을 겪었는데, 이는 Lenovo 기기에서 원활하게 작동했던 것과는 극명한 대조를 이룹니다.이러한 극명한 차이는 Secure Boot의 안정성이 가장 취약한 구성 요소에 달려 있음을 보여주며, 결과적으로 업데이트 절차가 불필요하게 복잡해지는 원인이 됩니다.

마이크로소프트, OEM 및 사용자의 책임

모든 관련 당사자는 Secure Boot의 현재 상태를 개선하기 위해 협력해야 합니다. Microsoft는 인증 지침을 더욱 엄격하게 시행하고 진단 도구를 개선해야 합니다. OEM은 펌웨어 동작을 더욱 광범위하게 표준화하고 데이터베이스 업데이트를 철저히 테스트해야 합니다.사용자 측면에서는 정기적인 펌웨어 업데이트와 Secure Boot 상태의 적극적인 관리를 통해 보안 조치를 철저히 유지하는 것이 필수적입니다.

무단 시스템 침해로부터 시스템을 보호하는 보안 부팅의 약속을 이행하기 위해서는 모든 이해관계자가 단호하고 책임감 있게 행동해야 합니다.이러한 노력을 통해 안정적이고 안전한 컴퓨팅 환경을 구축할 수 있습니다.

보안 부팅의 지속적인 중요성

보안 부팅은 Windows 보안 프레임워크의 핵심 구성 요소이지만, CA 2023 사태는 시스템적인 개선의 필요성을 강조합니다.다행히 업계는 이에 맞춰 변화하고 있습니다.펌웨어 공급업체들은 발전하고 있고, Microsoft는 더욱 엄격한 프로토콜을 구현하고 있으며, 커뮤니티 리소스들이 부족한 부분을 메우고 있습니다.하지만 신뢰를 유지하기 위해서는 꾸준한 노력과 지속적인 확인이 필요하며, 보안 부팅 또한 예외는 아닙니다.

보안 부팅 관련 문제를 해결할 때는 소요 시간을 주의 깊게 살펴보세요.반나절 정도 걸리는 해결은 괜찮지만, 그 이상 걸린다면 다른 방법을 찾아보거나 하드웨어 교체를 고려해야 할 수도 있습니다. Windows는 보안 부팅 없이도 작동할 수 있지만, 장기적인 해결책은 하드웨어 업그레이드 또는 시스템 구성 변경을 포함할 수 있습니다.최종 결정은 여러분에게 달려 있습니다!

출처 및 이미지