BitLocker란 무엇인가: Windows 암호화에 대한 완벽한 가이드

인포매텍 디지털 » Windows » BitLocker란 무엇인가: Windows 암호화에 대한 완벽한 가이드

노트북이나 데스크톱 컴퓨터에서 중요한 데이터를 다루는 경우, 암호화는 더 이상 선택 사항이 아니라 필수 사항입니다. BitLocker는 하드 드라이브를 암호화하고 분실, 도난 또는 컴퓨터에서 제거되는 경우에도 정보를 보호하는 Microsoft의 기본 솔루션입니다. 단순한 잠금 기능을 넘어 시스템 부팅 프로세스 및 하드웨어에 연결되어 다른 컴퓨터에서 드라이브를 읽으려고 시도하더라도 무단 접근을 방지합니다.

최근 몇 년 동안 원격 근무, 이동성 및 외부 장치 사용이 증가했습니다. 이로 인해 장치를 분실하거나 도난당할 경우 데이터 유출 위험이 높아졌습니다 . BitLocker는 전체 볼륨을 AES로 암호화하고 TPM 칩, 기업 정책, Active Directory 및 Microsoft 클라우드 서비스와 통합하여 복구 키를 보호하고 중앙에서 제어를 적용함으로써 이러한 위험을 해결합니다.

BitLocker란 무엇이고 어떤 문제를 해결하나요?

BitLocker는 Windows에 내장된 전체 디스크 암호화(FDE) 기술로 , 저장된 데이터를 보호합니다. BitLocker를 활성화하면 드라이브의 모든 내용(시스템 또는 데이터)이 암호화되어 저장됩니다. 암호화 키나 유효한 보호 장치 없이는 파일을 읽을 수 없습니다. BitLocker는 컴퓨터 도난, 디스크 제거 또는 저장 장치에 직접 접근하려는 오프라인 공격과 같은 위협을 완화하기 위해 설계되었습니다.

이 시스템은 128비트 또는 256비트 AES 알고리즘 과 XTS-AES(현재 버전에서 Microsoft에서 권장)와 같은 최신 운영 모드를 지원하며, 호환성을 위해 특정 레거시 시나리오에서는 AES-CBC도 지원합니다. 볼륨 마스터 키(VMK)는 TPM, PIN, 암호 또는 USB 부팅 키와 같은 보안 장치로 보호되며, 부팅 환경의 무결성 검사를 통과한 경우에만 공개됩니다.

BitLocker는 최대한의 보안을 제공하기 위해 TPM(Trusted Platform Module ) 칩을 사용합니다 . 이 칩은 부팅 체인(UEFI/BIOS, 부트 관리자, 중요 파일)이 변경되지 않았는지 확인합니다. 펌웨어 변경과 같은 변경 사항이 발생하면 기기는 부팅을 허용하기 전에 복구 키 를 요청할 수 있습니다 . TPM 없이도 암호화가 가능하지만, 이 경우 부팅 전 무결성 검사 기능이 없어지고 부팅 가능한 USB 키 또는 암호가 필요합니다 (암호는 무차별 대입 공격에 취약하므로 권장하지 않습니다).

BitLocker와 특정 하드웨어 구성에서 제공되는 장치 암호화 기능을 구분하는 것이 중요합니다 . 표준 BitLocker는 고급 제어 및 옵션을 제공하는 반면, 장치 암호화는 호환 시스템(HSTI/Modern Standby, 외부 DMA 포트 접근 불가)에서 시스템 드라이브 및 고정 구성에 초점을 맞춰 보호 기능을 자동으로 활성화하는 것을 목표로 하며 , 외부 USB 장치는 관리하지 않습니다.

실제로 BitLocker를 제대로 설정하면 도난당한 노트북은 아무런 가치도 없는 껍데기일 뿐입니다 . 도둑은 노트북을 포맷할 수는 있지만, 사용자의 데이터를 읽을 수는 없습니다. 이러한 보안 강화는 GDPR, HIPAA 등의 규정을 준수하고 데이터 유출, 벌금 부과, 신뢰 상실을 방지하는 데 매우 중요합니다.

"장치 암호화"의 요구 사항, 버전 및 차이점

BitLocker가 최상의 성능을 발휘하려면 하드웨어와 펌웨어 모두 중요합니다. TPM 1.2 이상(이상적으로는 TPM 2.0)이 기본 조건입니다 . TPM 2.0이 탑재된 장치에서는 레거시 모드(CSM)가 지원되지 않으므로 UEFI로 부팅해야 하며, 신뢰 체인을 강화하기 위해 보안 부팅을 활성화하는 것이 좋습니다.

UEFI/BIOS 펌웨어는 TCG(Trusted Computing Group) 사양을 충족 해야 하며 , 부팅 키를 사용하는 시나리오에서 부팅 전 USB 드라이브(대용량 저장 장치)를 읽을 수 있어야 합니다. 또한, 디스크에는 운영 체제 볼륨과 분리된 시스템 파티션이 있어야 하며 , 이 파티션은 암호화되지 않은 상태로 약 350MB(UEFI에서는 FAT32, BIOS에서는 NTFS 권장) 크기여야 하고, BitLocker를 활성화한 후에도 여유 공간이 있어야 합니다. 운영 체제 드라이브는 NTFS로 포맷됩니다.

BitLocker는 Windows Pro, Enterprise, Pro Education/SE 및 Education (Windows 10/11)을 비롯하여 Windows 7 Enterprise/Ultimate 및 Windows Server (2016/2019/2022 등)에서 지원됩니다. 사용 가능 여부 및 활성화 권한은 라이선스에 따라 다르며, Windows Pro/Pro Education/SE, Enterprise E3/E5 및 Education A3/A5 라이선스에서 해당 권한이 부여됩니다.

장치 암호화 와 관련하여 , HSTI/모던 스탠바이 인증을 통과하고 외부 DMA 포트를 노출하지 않는 장치에는 암호화 기능이 있습니다. 이 기능은 OOBE(초기 부팅) 후 TPM 보호기가 생성되고 복구 키가 백업될 때까지 일시 중단된 상태로 평문 키로 초기화됩니다. 장치가 Microsoft Entra ID(이전 Azure AD) 또는 AD DS 도메인 에 가입된 경우 백업이 자동으로 수행되고 평문 키는 더 이상 사용되지 않습니다. 개인용 컴퓨터에서는 관리자 권한이 있는 Microsoft 계정 으로 로그인하면 해당 계정에 키가 백업되고 TPM 보호기가 활성화됩니다. 로컬 계정만 사용하는 장치는 기술적으로 암호화될 수 있지만 적절한 보호 및 관리가 부족합니다.

하드웨어가 장치 암호화와 호환되는지 확인하십시오. msinfo32.exe (시스템 정보)의 "장치 암호화 호환성" 항목에서 확인할 수 있습니다. 처음에는 호환되지 않았더라도, 보안 부팅 활성화와 같은 설정을 변경하면 호환이 활성화되어 BitLocker가 자동으로 작동될 수 있습니다.

자동 장치 암호화가 문제가 되지 않는 환경에서는 레지스트리를 사용하여 이를 방지할 수 있습니다.

노선	이름	억센	용기
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\BitLocker	PreventDeviceEncryption	REG_DWORD	0 X 1

이 키는 개입 없이 활성화되는 것을 방지하여 IT 부서에서 관리하는 배포 방식을 가능하게 합니다.

이동식 드라이브는 어떻습니까 ? Windows에는 USB 플래시 드라이브와 외장 하드 드라이브를 암호화하는 BitLocker To Go가 포함되어 있습니다. 관리 지원은 콘솔에 따라 다를 수 있지만 (예: 특정 보안 솔루션에서 이 시나리오를 제한하거나 지원하지 않을 수 있음), Windows 수준에서는 이 기능이 제공되며 조직에서 널리 사용되고 있습니다.

활성화, 관리, 복구 및 실질적 보안

기본 설정은 Windows에서 직접 수행할 수 있습니다. 제어판 > 시스템 및 보안 > BitLocker 드라이브 암호화로 이동 하거나 시작 메뉴에서 "BitLocker 관리"를 검색하세요. "장치 암호화"를 지원하는 컴퓨터(홈 에디션 포함)에서는 설정에서 동일한 항목을 찾을 수 있습니다. 관리자 계정으로 로그인하고 마법사를 따라 보호 장치를 선택하고 복구 키를 저장하세요.

시스템 드라이브에 BitLocker를 활성화하는 일반적인 단계는 다음과 같습니다. 보호 방식 선택(TPM만 사용, TPM+PIN 권장 , 암호 또는 시작 키), 암호화 범위 결정( 새 컴퓨터의 경우 사용 공간만 , 이미 데이터가 있는 경우 전체 드라이브 ), 암호화 모드 선택(고정 드라이브의 경우 새 모드, 컴퓨터 간에 드라이브를 이동하는 경우 호환 모드). 암호화가 진행되는 동안에도 컴퓨터에서 작업을 계속할 수 있으며 , 프로세스는 백그라운드에서 실행됩니다.

명령줄을 선호하는 경우 BitLocker는 다음과 같이 관리됩니다. 관리-bde (권한이 있는 명령 프롬프트):
manage-bde -on C: -rp -rk E:\ 복구 키를 생성하고 E:에 저장합니다. 비밀번호/PIN을 추가할 수 있습니다. manage-bde -protectors -add C: -pw o -TPMAndPIN, 그리고 상태를 확인하세요 manage-bde -status비활성화하고 암호를 해독하려면: manage-bde -off C:. 열쇠를 안전한 곳에 보관하세요. 암호화되지 않음.

엔터프라이즈 환경에서는 수명주기 관리가 필수적입니다. 보안 및 암호화를 적용하기 위한 그룹 정책 개체 (GPO) , 키를 보호하기 위한 Active Directory/Entra ID , 그리고 네트워크 외부의 랩톱에 정책을 적용하기 위한 모바일 장치 관리(MDM )(예: Microsoft Intune) 등이 필요합니다. Active Directory/Entra ID에 키를 복사하면 장치별로 암호화 상태를 복구하고 감사할 수 있습니다.

일부 보안 제품군은 BitLocker 위에 관리 계층을 추가합니다. 예를 들어, 특정 엔터프라이즈 솔루션에서는 마스터 키를 콘솔로 전송하여 복구할 수 있습니다. 그러나 사용자가 이전에 드라이브를 직접 암호화한 경우 해당 키가 관리 플랫폼에 없을 수 있습니다. 이 경우 일반적으로 콘솔 정책을 사용하여 암호를 해제하고 다시 암호화하는 것이 좋으며 , 암호화 중 충돌을 방지하기 위해 그룹 정책 개체(GPO)에서 중복되는 BitLocker 정책을 비활성화하는 것이 좋습니다.

자주 묻는 질문 중 하나는 "오늘 갑자기 컴퓨터에서 복구 키를 요구하는데 , 시스템이 손상된 건가요?"입니다. 대개는 그렇지 않습니다. 펌웨어/UEFI 업데이트, 보안 부팅 변경, 하드웨어 수정 또는 특정 드라이버로 인해 TPM 측정값이 변경되어 복구 키를 요구하는 경우가 발생할 수 있습니다. 복구 키를 입력하고 로그인한 후, 해당 이벤트가 최근 변경 사항과 일치하는 경우라면 시스템 침입의 징후는 아닙니다. 복구 키를 어디에 저장했는지 기억나지 않는다면 Microsoft 계정/로그인 ID/AD DS 또는 생성한 인쇄물/.txt/.bek 파일 등을 확인해 보세요.

보안 측면에서 BitLocker는 올바르게 구성하면 매우 강력합니다. 필수적인 모범 사례는 다음과 같습니다.

• 사용 TPM + PIN 지식(PIN)을 통해 소유 요소(TPM)를 강화하기 시작합니다.
• 사용 안전 부팅 악성 부트로더를 방지합니다.
• 보호하고 감사합니다 복구 키 보관 (AD/ID 입력 및 접근 제한)
• 기회 창을 최소화하기 위해 세션 잠금 및 안전한 최대 절전 모드를 구성합니다.

어떤 시스템도 완벽하지 않으며, 이론적 및 실제적인 취약점을 인지하는 것이 중요합니다. 보안 부팅이 지원되지 않는 환경에서의 부팅 공격 , 콜드 부팅 (시스템 종료 직후 RAM 제거/읽기), 또는 복구 키를 이용한 "스티커 메모" 문제 등이 그 예입니다. 운영 규율과 펌웨어 제어를 통해 이러한 위험을 최소화할 수 있습니다.

BitLocker 사용 시 고려해야 할 사항도 있습니다. 모든 Windows 에디션에 BitLocker가 포함되어 있는 것은 아니며 (예: Windows 10 Home은 다른 방법을 사용하거나 지원되는 경우 장치 암호화를 사용해야 함), TPM이 없는 컴퓨터에서는 부팅 가능한 USB 드라이브나 암호를 사용해야 하는데 , 이는 보안에 더 취약합니다. 하드웨어 변경이나 특정 업데이트로 인해 잠금 해제에 추가적인 단계가 필요할 수도 있습니다. 하지만 성능은 최적화되어 있으며 , 최신 하드웨어에서는 일반적으로 영향이 미미합니다.

이동식 드라이브의 경우 BitLocker To Go 를 사용하면 USB 플래시 드라이브와 외장 하드 드라이브를 보호할 수 있어 이동 중에도 데이터를 안전하게 보관할 수 있습니다. 조직에서 사용하는 타사 도구에 따라 이러한 미디어 관리 기능이 제한될 수 있으므로 , 사용을 표준화하기 전에 IT 정책을 검토하십시오.

기존 배포 환경에서는 파티션 생성 및 준비 요구 사항을 간과해서는 안 됩니다. 시스템(부팅) 드라이브는 암호화되지 않은 상태로 운영 체제 드라이브와 분리되어 있어야 합니다 . 최신 Windows 설치에서는 이러한 파티션 구성이 자동으로 생성되지만, 기존 환경에서는 BitLocker 드라이브 준비 도구 또는 diskpart를 사용하여 적절한 파티션 크기를 조정하고 생성해야 합니다 . 볼륨이 완전히 암호화되고 보호되어 활성화된 경우에만 안전하다고 간주할 수 있습니다.

운영 체제 호환성과 관련하여, Windows 11/10 Pro, Enterprise 및 Education 버전은 BitLocker를 지원합니다. Windows 8.1 Pro/Enterprise 버전도 지원하며, Windows 7 의 경우 Enterprise/Ultimate 버전에서 사용할 수 있습니다. 서버 환경에서는 Windows Server 2008 이상 버전 에서 지원됩니다 . 크로스 플랫폼 암호화(Linux/Windows) 또는 엄격한 검증을 거친 오픈 소스 소프트웨어를 고려하는 경우, VeraCrypt 와 같은 대안이 경우에 따라 더 적합할 수 있습니다.

함대를 관리하는 경우 완전한 전략에는 다음이 포함됩니다.

• GPO 도메인 가입 시 암호화를 강제로 적용하려면 알고리즘(예: XTS-AES 256)을 선택하고 다음을 요구합니다. TPM+PIN.
• AD DS/ID 로그인 복구 키 저장소 및 규정 준수 보고용으로 사용됩니다.
• MDM (예: Intune) 회사 VPN에 거의 연결하지 않는 컴퓨터의 경우.
• 와 통합 보안 도구 BitLocker(데이터 보호)와 위치 또는 원격 잠금 기능(장치 보호)을 결합하여 잠금, 재고 관리 및 분실/도난 시 대응할 수 있습니다.

참고로, BitLocker는 시스템 부팅 전 싱글 사인온(SSO)을 구현하지 않습니다 . 초기 인증(TPM/PIN/키)을 통과하면 사용자는 일반적인 방식으로 Windows에 로그인합니다. 이는 시스템 부팅 전에 환경을 보호한다는 BitLocker 의 목표와 일치합니다.

핵심 질문, 일반적인 실수 및 실제 사례

BitLocker는 언제 사용해야 할까요? 개인 정보(신분증, 급여 명세서, 재정 기록)부터 고객 문서, 설계도, 계약서, 지적 재산권에 이르기 까지 노출을 원치 않는 정보를 컴퓨터에 저장할 때마다 사용해야 합니다. 특히 출장이 잦거나 카페, 공유 오피스, 공항 등에서 작업하는 전문가에게는 도난 방지에 매우 유용합니다.

최종 사용자에게 복잡한가요? 특별히 그렇지는 않습니다 . 인터페이스가 보호 방법을 선택하고 복구 키를 백업하는 과정을 안내해 줍니다. 가장 중요한 것은 복구 키를 안전하게 저장하는 것 입니다 . 기기가 Entra ID 또는 도메인에 연결되어 있다면 이미 백업되어 있을 가능성이 높습니다. 개인용 컴퓨터라면 Microsoft 계정에 저장하고, 필요하다면 사본을 인쇄해 두세요. 암호화된 컴퓨터 자체에는 복구 키를 저장하지 마세요.

컴퓨터를 켠 후 가끔 암호를 입력하라는 메시지가 나타나는 이유는 무엇일까요? 이는 일반적으로 펌웨어/부팅 변경, 보안 부팅 활성화, TPM 업데이트 또는 하드웨어 교체 와 관련이 있습니다 . BitLocker가 변경 사항을 감지하면 복구 모드로 진입합니다. 암호를 입력하면 모든 것이 정상일 경우 추가적인 변경 사항이 없는 한 다시 암호를 요구하지 않습니다.

BitLocker는 성능에 영향을 미치나요? 최신 시스템에서는 특히 하드웨어가 AES 가속(프로세서별 명령어)을 지원하는 경우 영향이 미미 합니다. AES 128을 선택하면 성능 향상을 얻을 수 있으며, AES 256은 규제 환경에서 추가적인 암호화 보안을 제공합니다.

TPM이 없으면 어떻게 될까요? USB 드라이브에 암호나 부팅 키를 설정할 수는 있지만 , 부팅 전 무결성 검증 기능을 사용할 수 없게 됩니다. 또한, 잠금 정책이 없는 암호는 무차별 대입 공격 에 더욱 취약합니다 . 가능하다면 TPM 2.0 + UEFI + 보안 부팅을 사용하는 것이 좋습니다.

데이터를 전송하기 위해 USB 드라이브를 암호화하려면 어떻게 해야 할까요? BitLocker To Go를 사용하세요 . 회사에서 이동식 저장 매체에 특정 정책(예: 복잡한 암호 요구 또는 승인되지 않은 드라이브 사용 금지)을 적용하는 보안 플랫폼을 사용하는 경우 IT 부서와 협의하는 것을 잊지 마세요.

법률 및 규정 준수 관련 유의사항: 암호화된 장치의 경우, 규제 체계 및 위험 분석에 따라 도난 사건이 하드웨어 사고로 간주되어 보고 대상 데이터 유출로 처리되지 않을 수 있습니다. 즉, 암호화는 GDPR 및 기타 규정을 준수하기 위한 중요한 완화 조치이지만 , 백업, 접근 제어, 이벤트 로깅 또는 취약점 관리를 대체하는 것은 아닙니다.

마지막으로, BitLocker를 엔터프라이즈 엔드포인트 솔루션과 통합하는 경우 암호화 오류를 유발할 수 있는 중복 정책 (GPO 대 보안 콘솔)을 피해야 합니다. 컴퓨터가 로컬에서 암호화되었고 플랫폼에 해당 키가 없는 경우 공식 정책을 사용하여 복호화한 후 다시 암호화하십시오. 정책 일관성은 지원 및 복구를 간소화합니다.

BitLocker를 현명하게 활용하면(TPM + PIN, 보안 부팅, 안전한 암호, 일관된 정책) 기기 분실과 데이터 손실을 방지할 수 있습니다 . 일상생활에서는 거의 눈치채지 못하겠지만, 문제가 발생했을 때 데이터가 암호화되어 있고, 암호가 안전하게 관리되고 있으며, 하드웨어를 분실하더라도 문서가 안전하게 보호된다는 사실에 감사하게 될 것입니다.