Windows 10은 그동안 수많은 보안 취약점에 시달려 왔습니다. 스펙터(Spectre)와 멜트다운(Meltdown) 취약점부터 최근의 프린트 스풀러 버그까지, Windows 10과 관련된 해킹 사례 목록은 상당히 길습니다. 그렇기 때문에 마이크로소프트가 Windows 11에서 보안에 대한 투자를 한층 강화했다는 소식은 반가운 일입니다.
Windows 11은 출시 초기 단계부터 Windows 10보다 더 안전한 운영체제입니다. 마이크로소프트는 몇 가지 핵심 기능을 중심으로 Windows 11의 보안을 대폭 강화했습니다. 지금부터 Windows 11의 방어력을 높여주는 주요 보안 기능들을 하나씩 살펴보겠습니다.
1. 신뢰할 수 있는 플랫폼 모듈(TPM)
마이크로소프트가 Windows 11에 TPM(Trusted Platform Module) 2.0 지원을 필수 요건으로 요구한다고 발표한 이후, 이 주제는 상당한 논란이 되었습니다. TPM 칩은 이미 10년 넘게 존재해 왔지만, 지금까지는 제조사나 사용자들이 크게 주목하지 않았습니다.
TPM 칩은 암호화 키, 비밀번호, 인증서 등을 저장하는 암호화 저장소입니다. TPM 칩은 저장된 정보를 활용해 기기, 소프트웨어, 사용자를 식별하고 인증합니다.
예를 들어 Windows 11에서는 Windows Hello가 TPM 2.0 칩과 연동하여 로그인 과정을 보호합니다. TPM 2.0 칩은 Windows Hello 관련 비밀 정보를 저장하고, 이를 통해 사용자를 인증하는 역할을 수행합니다.
마이크로소프트가 Windows 블로그에서 밝힌 바에 따르면, 구형 TPM 1.2가 아닌 최신 TPM 2.0을 채택한 이유는 TPM 2.0이 더 우수한 암호화 알고리즘을 지원하기 때문이라고 합니다.
즉, TPM 2.0 칩은 Windows 11 PC가 정품이며 외부 침입으로부터 안전함을 보장하는 핵심 장치라고 할 수 있습니다.
2. 가상화 기반 보안(VBS)
마이크로소프트는 Windows 11에 VBS(Virtualization-based Security, 가상화 기반 보안)를 포함시켰습니다. 이 기능은 보안 솔루션을 시스템 메모리의 격리되고 보호된 영역 내부에 배치함으로써, 공격으로부터 보안 솔루션 자체를 지키는 것을 목표로 합니다.
쉽게 설명하면, VBS는 시스템 메모리의 일정 공간을 할당받아 운영체제의 나머지 부분과 분리한 뒤, 그 공간에 보안 솔루션을 저장합니다. 이를 통해 대부분의 사이버 공격에서 1차 표적이 되는 보안 솔루션 자체를 보호할 수 있습니다.
VBS는 Windows 10에서도 지원되지만, 기본적으로 활성화되지 않았습니다. 마이크로소프트는 Windows 11에서 이를 변경하여, 내년부터 대부분의 Windows 11 기기에서 VBS를 기본적으로 활성화할 계획이라고 발표했습니다.
3. 하이퍼바이저로 보호되는 코드 무결성(HVCI)
HVCI(Hypervisor-protected Code Integrity)는 VBS의 하위 기능으로, VBS가 생성한 격리된 메모리 환경을 보호합니다. HVCI는 Windows 커널, 즉 운영체제의 두뇌가 침해되지 않도록 보장합니다.
많은 익스플로잇이 커널 모드를 이용해 시스템에 접근하기 때문에, HVCI는 커널을 안전하게 유지하고 이것이 시스템 공격에 악용될 수 없도록 하는 매우 중요한 역할을 담당합니다.
비유하자면, HVCI는 Windows의 두뇌인 커널이 시스템 보안을 위태롭게 만드는 어리석은 행동을 하지 않도록 감시하는 장치라고 할 수 있습니다.
Windows 10에는 HVCI가 기본 탑재되어 있지만, 구형 CPU에서 성능 저하가 상당히 큽니다. 이것이 마이크로소프트가 Intel 8세대 이상, AMD Zen 2 이상의 CPU를 요구하는 이유 중 하나입니다. 이들 CPU는 HVCI 전용 하드웨어를 갖추고 있기 때문입니다.
요컨대, Windows 11은 HVCI와 VBS를 통해 기본 설정만으로도 Windows 10보다 훨씬 높은 수준의 보안을 제공합니다.
4. UEFI 보안 부팅
UEFI 보안 부팅을 이야기하기 전에 한 가지 짚고 넘어갈 점이 있습니다. 아무리 강력한 Windows 보안 도구와 프로토콜이라도, 부팅 단계에서 시스템이 이미 침해되었다면 아무 소용이 없다는 것입니다.
간단히 말해, Windows가 악성 코드와 함께 부팅된다면 익스플로잇은 모든 보안 조치를 우회할 수 있습니다. UEFI 보안 부팅은 컴퓨터가 신뢰할 수 있는 출처의 코드로만 시작되도록 검증함으로써 이러한 상황을 원천 차단합니다. 여기서 신뢰할 수 있는 출처란 PC 제조사, 칩 제조업체 또는 마이크로소프트를 의미합니다.
모든 Windows 11 기기는 처음부터 UEFI 보안 부팅이 적용된 상태로 출시됩니다. 이는 Windows 11 기기에 Windows 10 기기 대비 상당한 보안상의 이점을 제공합니다.
모든 면에서 더 안전한 Windows 11
마이크로소프트는 새 운영체제가 처음부터 끝까지 안전하도록 철저히 준비하고 있습니다. TPM 2.0과 최신 CPU 같은 보안 중심 하드웨어가 VBS, UEFI 보안 부팅과 같은 기능을 가능하게 하며, 사용자를 다양한 익스플로잇으로부터 보호합니다.
다만, 대부분의 Windows 사용자는 여전히 구형 기기를 사용하고 있습니다. 따라서 마이크로소프트는 사용자들이 새 PC를 구매하도록 설득해야 하는데, 결코 쉬운 일은 아닐 것입니다.