새 Windows 기기에서 Microsoft 계정으로 로그인하면 Microsoft가 자동으로 기기를 암호화하고 Windows 11/10 장치 암호화 키를 OneDrive에 저장합니다. 이 글에서는 Microsoft가 이렇게 하는 이유를 살펴보고, 암호화 키를 삭제하거나 Microsoft와 공유하지 않고 직접 키를 생성하는 방법까지 자세히 알아봅니다.
Windows 11/10 장치 암호화 키란?
새 Windows 11/10 컴퓨터를 구입하고 Microsoft 계정으로 로그인하면 Windows가 자동으로 기기를 암호화하고 암호화 키를 OneDrive에 저장합니다. 사실 이 기능은 Windows 8부터 존재해 온 것이라 새롭지는 않지만, 최근 보안 관련 우려가 제기되면서 다시 주목받고 있습니다.
이 기능을 사용하려면 하드웨어가 TPM 및 ConnectedStandby 시스템의 SecureBoot에 대한 Windows HCK(하드웨어 인증 키트) 요구 사항을 충족하는 연결 대기(Connected Standby)를 지원해야 합니다. 기기가 이 기능을 지원한다면 설정 > 시스템 > 정보에서 해당 설정을 확인할 수 있으며, 여기서 장치 암호화를 켜거나 끌 수 있습니다.
Windows 11/10의 디스크 또는 장치 암호화는 Windows 10에서 기본적으로 활성화되는 매우 유용한 기능입니다. 이 기능은 기기를 암호화한 후 암호화 키를 Microsoft 계정의 OneDrive에 저장합니다.
TechNet에 따르면, 장치 암호화는 기기가 항상 보호받을 수 있도록 자동으로 활성화된다고 합니다. 작동 방식은 다음과 같습니다.
- Windows 8.1/10 클린 설치가 완료되면 컴퓨터는 첫 사용 준비 과정을 거칩니다. 이 준비 과정의 일부로 운영 체제 드라이브와 고정 데이터 드라이브에 클리어 키(clear key) 방식으로 장치 암호화가 초기화됩니다.
- 기기가 도메인에 가입되어 있지 않다면, 기기에 관리자 권한이 부여된 Microsoft 계정이 필요합니다. 관리자가 Microsoft 계정으로 로그인하면 클리어 키가 제거되고, 복구 키가 온라인 Microsoft 계정에 업로드되며, TPM 보호기가 생성됩니다. 기기에서 복구 키가 필요한 경우, 사용자는 다른 기기를 통해 복구 키 접근 URL로 이동하여 Microsoft 계정 자격 증명으로 복구 키를 검색하게 됩니다.
- 사용자가 도메인 계정으로 로그인하는 경우, 기기를 도메인에 가입시키고 복구 키가 Active Directory Domain Services에 성공적으로 백업될 때까지 클리어 키는 제거되지 않습니다.
BitLocker는 사용자가 직접 실행하고 절차를 따라야 하는 반면, 이 모든 과정은 컴퓨터 사용자의 개입 없이 자동으로 진행된다는 점에서 차이가 있습니다. BitLocker를 켤 때는 복구 키 백업이 강제되지만, Microsoft 계정에 저장, USB 드라이브에 저장, 인쇄 중 하나를 선택할 수 있습니다.
한 연구자는 이에 대해 다음과 같이 지적합니다.
복구 키가 일단 컴퓨터를 떠나면 그 운명을 알 수 있는 방법이 없습니다. 해커가 이미 Microsoft 계정을 해킹하여 사용자가 삭제하기 전에 복구 키를 복사했을 수 있습니다. Microsoft 자체가 해킹당하거나, 사용자 데이터에 접근할 수 있는 불량 직원을 고용했을 가능성도 있습니다. 또한 법 집행 기관이나 정보 기관이 Microsoft에 계정 내 모든 데이터를 요청하면 법적으로 복구 키를 넘겨야 할 수 있는데, 이는 컴퓨터 설정 직후 키를 삭제하더라도 가능합니다.
이에 대해 Microsoft는 다음과 같이 답변했습니다.
기기가 복구 모드에 들어갔는데 사용자가 복구 키에 접근할 수 없다면, 드라이브의 데이터는 영구적으로 접근할 수 없게 됩니다. 이러한 결과의 가능성과 광범위한 고객 피드백 조사를 바탕으로 우리는 사용자 복구 키를 자동으로 백업하기로 결정했습니다. 복구 키는 사용자 기기에 대한 물리적 접근이 필요하며, 이것이 없으면 아무 소용이 없습니다.
즉, Microsoft는 기기가 복구 모드에 진입했을 때 사용자가 복구 키에 접근하지 못해 데이터를 잃는 상황을 방지하기 위해 암호화 키를 서버에 자동 백업하기로 결정한 것입니다.
결국 이 기능이 악용되려면 공격자가 백업된 암호화 키에 접근하는 동시에 실제 컴퓨터에 물리적으로 접근해야 합니다. 이런 경우는 매우 드물기 때문에 지나치게 걱정할 필요는 없습니다. Microsoft 계정을 철저히 보호하고 장치 암호화 설정은 기본값으로 두는 것이 좋습니다.
그럼에도 불구하고 Microsoft 서버에서 이 암호화 키를 제거하고 싶다면, 아래 방법을 따라 해보세요.
암호화 키 삭제 방법
새 Windows 기기에서 Microsoft 계정에 처음 로그인할 때 복구 키 업로드 자체를 막을 방법은 없지만, 업로드된 키는 삭제할 수 있습니다.
Microsoft가 클라우드에 암호화 키를 저장하지 않게 하려면 OneDrive 페이지에 방문하여 키를 삭제해야 합니다. 그런 다음 디스크 암호화 기능을 꺼야 합니다. 단, 이렇게 하면 컴퓨터를 분실하거나 도난당했을 때 이 내장 데이터 보호 기능을 사용할 수 없게 된다는 점에 유의하세요.
해당 웹사이트에서 계정의 복구 키를 삭제하면 즉시 삭제되며, 백업 드라이브에 저장된 복사본도 곧이어 삭제됩니다.
복구 키 암호는 고객의 온라인 프로필에서 즉시 삭제됩니다. 페일오버 및 백업에 사용되는 드라이브가 최신 데이터와 동기화되면서 키도 함께 제거됩니다. — Microsoft
직접 암호화 키 생성 방법
Windows 10 Pro 및 Enterprise 사용자는 Microsoft로 전송되지 않는 새 암호화 키를 생성할 수 있습니다. 이를 위해서는 먼저 BitLocker를 끄고 디스크를 복호화한 후, BitLocker를 다시 켜야 합니다.
이 과정에서 BitLocker 드라이브 암호화 복구 키를 어디에 백업할지 묻는 메시지가 표시됩니다. 이 키는 Microsoft와 공유되지 않지만, 분실하면 암호화된 모든 데이터에 접근할 수 없게 될 수 있으므로 반드시 안전한 곳에 보관해야 합니다.