하드 드라이브를 암호화하는 것은 보안을 강화하는 가장 쉽고 빠른 방법 중 하나입니다. 윈도우 10에는 드라이브 암호화 프로그램이 기본적으로 내장되어 있는데, 바로 BitLocker(비트로커)입니다. BitLocker는 전체 드라이브 암호화 도구로, 윈도우 10 Pro, Enterprise, Education 에디션 사용자만 이용할 수 있습니다.
드라이브 암호화는 다소 어렵게 느껴질 수 있습니다. 비밀번호를 잃어버리면 드라이브는 영원히 잠긴 상태로 남기 때문입니다. 그럼에도 불구하고 암호화가 제공하는 보안 수준은 거의 타의 추종을 불허합니다.
지금부터 윈도우 10에서 BitLocker를 사용해 하드 드라이브를 암호화하는 방법을 단계별로 알아보겠습니다.
BitLocker란 무엇인가?
BitLocker는 윈도우 10 Pro, Enterprise, Education에 포함된 전체 볼륨 암호화 도구입니다. BitLocker를 사용하면 드라이브 볼륨을 암호화할 수 있으며, 여기서 볼륨이란 드라이브 전체가 아닌 드라이브의 일부를 의미하기도 합니다.
BitLocker는 일반 윈도우 10 사용자에게도 강력한 암호화를 제공합니다. 기본적으로 BitLocker는 128비트 AES 암호화(AES-128)를 사용합니다. 암호화 기술 관점에서 이는 매우 강력한 수준입니다. 현재까지 128비트 AES 암호화 키를 무차별 대입(brute force)으로 해독하는 알려진 방법은 없습니다. 한 연구팀이 AES 암호화 알고리즘에 대한 잠재적 공격 방법을 제시한 적이 있지만, 키를 크랙하는 데 수백만 년이 걸린다고 합니다. 그래서 사람들은 AES를 '군사급 암호화'라고 부르는 것입니다.
따라서 AES-128을 사용하는 BitLocker도 충분히 안전합니다. 그래도 더 큰 256비트 키를 사용하면 사실상 해독이 불가능한 수준이 됩니다. 뒤에서 BitLocker를 AES-256으로 전환하는 방법도 소개하겠습니다.
BitLocker에는 세 가지 암호화 방식이 있습니다.
- 사용자 인증 모드(User Authentication Mode). '표준' 방식으로, 드라이브를 암호화한 후 잠금 해제 전에 인증을 요구합니다. 인증은 PIN 또는 비밀번호 형태로 이루어집니다.
- 투명 운영 모드(Transparent Operation Mode). 다소 고급 방식으로, 신뢰할 수 있는 플랫폼 모듈(TPM) 칩을 사용합니다. TPM 칩은 BitLocker로 드라이브를 암호화한 이후 시스템 파일이 수정되지 않았는지 검사합니다. 시스템 파일이 변조되었다면 TPM 칩은 키를 해제하지 않으며, 결과적으로 비밀번호를 입력해도 드라이브를 복호화할 수 없습니다. 투명 운영 모드는 드라이브 암호화 위에 추가 보안 계층을 만들어 줍니다.
- USB 키 모드(USB Key Mode). 물리적인 USB 장치를 사용해 암호화된 드라이브로 부팅하는 방식입니다.
시스템에 TPM 모듈이 있는지 확인하는 방법
내 시스템에 TPM 모듈이 있는지 확실하지 않다면 윈도우 키 + R을 누른 후 tpm.msc를 입력하세요. 시스템의 TPM 관련 정보가 표시되면 TPM 모듈이 설치되어 있는 것이고, "호환되는 TPM을 찾을 수 없습니다"라는 메시지가 나타나면 TPM 모듈이 없는 것입니다.
TPM 모듈이 없어도 걱정할 필요는 없습니다. TPM 없이도 BitLocker를 사용할 수 있으며, 자세한 방법은 아래 섹션에서 확인할 수 있습니다.
BitLocker 활성화 여부 확인하기
본격적인 BitLocker 드라이브 암호화 과정으로 넘어가기 전에, 먼저 시스템에서 BitLocker가 활성화되어 있는지 확인해야 합니다.
시작 메뉴 검색창에 gpedit을 입력하고 가장 일치하는 항목을 선택하면 로컬 그룹 정책 편집기(Group Policy Editor)가 열립니다.
컴퓨터 구성 > 관리 템플릿 > Windows 구성 요소 > BitLocker 드라이브 암호화 > 운영 체제 드라이브로 이동합니다.
시작 시 추가 인증 요구(Require additional authentication at startup)를 선택한 후 사용(Enabled)으로 설정합니다.
시스템에 호환되는 TPM 모듈이 없다면 호환되는 TPM 없이 BitLocker 허용(Allow BitLocker without a compatible TPM) 옵션에 체크하세요.
윈도우 10에서 BitLocker 드라이브 암호화 사용하기
먼저 시작 메뉴 검색창에 bitlocker를 입력하고 가장 일치하는 항목을 선택합니다.
BitLocker로 암호화할 드라이브를 선택한 후 BitLocker 켜기(Turn BitLocker On)를 클릭합니다.
이제 이 드라이브의 잠금을 해제하는 방법 선택 단계가 나타나며, 두 가지 옵션 중에서 고를 수 있습니다.
- 비밀번호 사용
- 스마트 카드 사용
여기서 첫 번째 옵션인 비밀번호로 드라이브 잠금 해제를 선택합니다.
BitLocker 비밀번호 설정하기
여기가 가장 중요한 부분입니다. 기억할 수 있으면서도 충분히 강력한 비밀번호를 만들어야 합니다. BitLocker 마법사가 안내하듯, 비밀번호에는 대문자와 소문자, 숫자, 공백, 특수문자를 모두 포함하는 것이 좋습니다.
적절한 비밀번호를 만들었다면 입력하고, 확인을 위해 한 번 더 입력합니다.
다음 페이지에서는 BitLocker 복구 키 생성 옵션이 나타납니다. BitLocker 복구 키는 해당 드라이브에 고유하며, 안전하게 백업해 둘 수 있는 유일한 수단입니다. 네 가지 옵션 중에서 선택할 수 있는데, 우선 파일에 저장(Save to File)을 선택하고 기억하기 쉬운 위치에 저장한 후 다음으로 넘어갑니다.
암호화 범위와 암호화 모드 선택하기
이제 드라이브의 어느 부분까지 암호화할지 선택합니다.
BitLocker 마법사는 이미 사용 중인 드라이브라면 전체 드라이브를 암호화할 것을 강력히 권장합니다. 삭제되었지만 실제로는 드라이브에 남아 있는 데이터까지 포함해 모든 데이터를 암호화하기 위해서입니다. 반면 새 드라이브나 새 PC를 암호화하는 경우에는 "현재 사용 중인 드라이브 영역만 암호화"하면 됩니다. BitLocker가 이후 추가되는 새 데이터는 자동으로 암호화해 주기 때문입니다.
마지막으로 암호화 모드를 선택합니다. 윈도우 10 버전 1511에서 XTS-AES라는 새로운 디스크 암호화 모드가 도입되었습니다. XTS-AES는 추가 무결성 지원을 제공하지만, 구버전 윈도우와는 호환되지 않습니다. BitLocker로 암호화한 드라이브를 현재 시스템에 계속 두고 사용할 것이라면 새로운 XTS-AES 암호화 모드를 안심하고 선택해도 됩니다.
반대로 암호화한 드라이브를 다른 컴퓨터에 연결해 사용할 예정이라면 호환 모드(Compatible mode)를 선택하세요.
BitLocker로 드라이브 암호화 실행하기
마지막 페이지에 도달했습니다. 이제 암호화 시작(Start encrypting)을 선택하고 프로세스가 완료될 때까지 기다리면 됩니다. 암호화 작업은 데이터 양에 따라 시간이 다소 걸릴 수 있습니다.
이후 시스템을 재부팅하거나 암호화된 드라이브에 접근하려고 하면 BitLocker가 드라이브 비밀번호를 요구합니다.
BitLocker에서 AES-256 사용하기
BitLocker가 기본값인 128비트 AES 대신 훨씬 강력한 256비트 AES 암호화를 사용하도록 설정할 수 있습니다. 128비트 AES만으로도 무차별 대입 공격에 사실상 영원히 버틸 수 있지만, 추가 강도를 더하면 더욱 안전하게 만들 수 있습니다.
AES-128 대신 AES-256을 사용하는 주된 이유는 미래의 양자 컴퓨팅에 대비하기 위함입니다. 양자 컴퓨팅은 현재의 하드웨어보다 훨씬 쉽게 오늘날의 암호화 표준을 깨뜨릴 수 있을 것으로 예상됩니다.
그룹 정책 편집기를 연 후 컴퓨터 구성 > 관리 템플릿 > Windows 구성 요소 > BitLocker 드라이브 암호화로 이동합니다.
드라이브 암호화 방법 및 암호화 강도 선택(Choose drive encryption method and cipher strength)을 선택하고 사용(Enabled)으로 설정한 뒤, 드롭다운 메뉴에서 XTS-AES 256비트를 선택합니다. 적용(Apply)을 누르면 설정이 완료됩니다.
윈도우 BitLocker 비밀번호 백업하기
이제 BitLocker를 사용해 윈도우 10 드라이브를 암호화하는 방법을 알게 되었습니다. BitLocker는 윈도우 10에 통합된 훌륭한 암호화 도구로, 별도의 서드파티 암호화 프로그램을 설치할 필요가 없습니다.
다만 윈도우 10 Home 사용자에게는 해당되지 않습니다. 윈도우 10 Home 사용자를 위한 디스크 암호화 대안을 함께 확인해 보시기 바랍니다.