KB3170455 업데이트 후 네트워크 프린터 드라이버 설치 오류
2016년 7월에 배포된 마이크로소프트 보안 업데이트 중 하나에서 예상치 못한 문제가 발견되었습니다. 바로 2016년 7월 12일에 출시된 KB3170455입니다. 이 업데이트를 설치한 이후 도메인 환경에서 네트워크 프린터 연결 문제가 발생할 수 있습니다.
문제 증상
Windows Server 2008 R2로 운영 중인 인쇄 서버(Print Server)에서 도메인 클라이언트(Windows 10, Windows 7)로 프린터를 설치(연결)하려고 하면 다음과 같은 오류 메시지가 나타납니다.
프린터 연결(Connect to Printer)
"컴퓨터에 적용된 정책에 의해 이 인쇄 대기열에 연결할 수 없습니다. 시스템 관리자에게 문의하시기 바랍니다."
일부 프린터 모델의 경우 네트워크 프린터에 연결하려고 할 때 아래와 같은 다른 경고 창이 표시됩니다.
이 프린터를 신뢰하시겠습니까?(Do you trust this printer?)
"Windows에서 \\PrintServer_Name 컴퓨터로부터 소프트웨어 드라이버를 다운로드하여 설치해야 Printer_Name 프린터로 인쇄할 수 있습니다. \\PrintServer_Name과 네트워크를 신뢰하는 경우에만 진행하십시오."
드라이버 설치(Install driver)를 클릭하면 UAC 창이 나타나면서 관리자 계정과 암호 입력을 요구합니다. 그러나 이전에는 일반 사용자가 관리자 권한 없이 프린터 드라이버를 설치할 수 있도록 허용하는 정책 덕분에 사용자들이 아무 어려움 없이 프린터에 연결할 수 있었습니다.
원인 분석
문제가 발생한 컴퓨터들에 설치된 업데이트 목록을 비교한 결과, KB3170455(MS16-087: Windows 인쇄 스풀러 구성 요소용 보안 업데이트, 2016년 7월 12일)가 설치된 컴퓨터에서만 문제가 발생한다는 사실을 확인했습니다. 실제로 이 업데이트를 제거하면 프린터가 정상적으로 연결됩니다.
wusa.exe /uninstall /kb:3170455 /quiet /norestart
참고: Windows에서 업데이트를 올바르게 제거하는 다양한 방법을 미리 숙지해 두는 것이 좋습니다.
다만 업데이트 자체에 결함이 있는 것은 아닙니다. 이 업데이트는 Windows 인쇄 스풀러의 치명적인 취약점을 수정하며, 사용자가 신뢰할 수 없거나 서명되지 않은 프린터 드라이버를 설치하려 할 때 경고를 표시하는 기능도 함께 포함하고 있습니다. 특히 Windows 10에서는 이 업데이트가 누적 업데이트에 통합되어 있어 롤백이 불가능합니다. 따라서 단순히 업데이트를 제거하는 방식으로는 문제를 해결할 수 없습니다.
프린터 드라이버가 정상 설치되기 위한 조건
마이크로소프트 공식 지원 문서(https://support.microsoft.com/en-us/kb/3170005)에는 클라이언트에서 프린터 드라이버가 정상적으로 설치되기 위해 충족해야 하는 조건이 명시되어 있습니다.
- 드라이버는 신뢰할 수 있어야 합니다(신뢰할 수 있는 디지털 서명으로 서명되어야 함).
- 드라이버는 패키지 인식형(Package-aware)이어야 합니다. 패키지 인식형이 아닌 v3 프린터 드라이버는 Point and Print Restrictions 모드에서 설치할 수 없습니다.
마이크로소프트 권장 해결 방법
- 패키지 인식형 드라이버로 교체: 인쇄 서버의 드라이버를 패키지 인식형(Package-aware V3) 드라이버로 교체합니다. 드라이버가 패키지 인식형인지 여부는 인쇄 관리(Print Manager)에서 확인할 수 있습니다. 드라이버 섹션을 열었을 때 패키지 인식형 드라이버라면 Packaged 열에 True 상태로 표시됩니다.
이후 Point and Print Restrictions 정책을 활성화하고(컴퓨터 구성 > 정책 > 관리 템플릿 > 프린터 및 사용자 구성 > 정책 > 관리 템플릿 > 제어판 > 프린터) 경고 또는 권한 상승 프롬프트 표시 안 함(Do not show warning or elevation prompt) 옵션을 체크합니다. 아울러 신뢰할 수 있는 인쇄 서버의 FQDN 이름을 반드시 지정해 주세요. - 클라이언트 PC에 사전 설치: 드라이버가 너무 오래되어 업데이트가 불가능한 경우에는 클라이언트 PC에 해당 드라이버를 미리 설치해 두는 것이 좋습니다. 이렇게 하면 프린터 연결 시 아무런 문제가 발생하지 않습니다.
Canon·Sharp·Konica Minolta 프린터를 위한 레지스트리 우회 팁
참고: Canon, Sharp, Konica Minolta 프린터의 경우 시스템이 해당 드라이버를 패키지 인식형으로 인식하도록 만드는 유용한 트릭이 있습니다. 인쇄 서버의 레지스트리에서 HKLM\System\CurrentControlSet\Control\Print\Enviroments\Windows x64\Drivers\…\드라이버 이름\ 키를 열고, 해당 드라이버의 PrinterDriverAttributes 값을 현재 값에 1을 더해 변경합니다. 예를 들어 필자의 경우 속성 값이 5였으며, 이를 6으로 변경했습니다. HKLM\System\CurrentControlSet\Control\Print\Enviroments\Windows NT x86\Drivers\…\드라이버 이름\ 경로의 드라이버 속성 값도 동일한 방법으로 변경해야 합니다. 시스템을 재시작하면 Canon 네트워크 프린터가 별도의 경고 없이 정상적으로 연결되는 것을 확인할 수 있습니다.