BitLocker 드라이브 암호화 개요

BitLocker는 TPM을 사용하여 초기 부팅 구성 요소 및 부팅 구성 데이터의 무결성을 확인할 수 있습니다. 이를 통해 BitLocker는 해당 구성 요소가 변조되지 않았으며 암호화된 드라이브가 원래의 컴퓨터에 있을 경우에만 암호화된 드라이브에 액세스할 수 있게 합니다.

BitLocker는 다음 작업을 수행하여 시작 프로세스의 무결성을 확인합니다.

• 초기 부팅 파일 무결성이 유지되었는지 확인하는 방법을 제공하고 부팅 섹터 바이러스나 루트킷 등에 의해 해당 파일이 수정되지 않았는지 확인합니다.
  
  
• 오프라인 소프트웨어 기반 공격을 차단하는 보호 기능을 향상시킵니다. 시스템을 시작할 수 있는 대체 소프트웨어가 Windows 운영 체제 드라이브의 암호 해독 키에 액세스하지 못하도록 합니다.
  
  
• 시스템이 변조된 경우 시스템을 잠급니다. 모니터링되는 파일이 변조된 경우 시스템이 시작되지 않습니다. 이는 시스템이 정상적으로 시작되지 않으므로 사용자에게 변조를 경고하는 역할을 합니다. 시스템 잠금이 발생한 경우 BitLocker는 간단한 복구 프로세스를 제공합니다.
  
  

BitLocker를 사용하려면 컴퓨터가 다음과 같은 몇 가지 요구 사항을 충족해야 합니다.

• TPM에서 제공하는 시스템 무결성 검사 기능을 BitLocker에서 사용하려면 컴퓨터에 TPM 버전 1.2가 설치되어 있어야 합니다. 컴퓨터에 TPM이 없는 경우 BitLocker를 사용하려면 USB 플래시 드라이브와 같은 이동식 장치에 시작 키를 저장해야 합니다.
  
  
• TPM이 있는 컴퓨터에는 TCG(신뢰할 수 있는 컴퓨팅 그룹) 호환 BIOS도 있어야 합니다. BIOS는 운영 체제 이전 시작을 위한 신뢰 체인을 설정하며 TCG에서 지정한 신뢰도 측정의 정적 루트를 지원해야 합니다. TPM이 없는 컴퓨터에는 TCG 호환 BIOS가 필요하지 않습니다.
  
  
• TPM 및 비 TPM 컴퓨터의 시스템 BIOS는 운영 체제 이전 환경에서 USB 플래시 드라이브에 있는 작은 파일을 읽는 기능을 포함하여 USB 대용량 저장 장치 클래스를 지원해야 합니다. USB에 대한 자세한 내용은 USB 웹 사이트의 USB 대용량 저장 장치 대량 전용 및 대용량 저장 장치 UFI 명령 사양(https://go.microsoft.com/fwlink/?LinkId=83120(페이지는 영문일 수 있음))을 참조하십시오.
  
  
• 하드 디스크는 최소 두 개 이상의 드라이브로 파티션을 나누어야 합니다.
  
  
  • 운영 체제 드라이브(또는 부팅 드라이브)에는 운영 체제와 지원 파일이 포함되며 이 볼륨은 NTFS 파일 시스템으로 포맷해야 합니다.
    
    
  • 시스템 드라이브에는 BIOS가 시스템 하드웨어를 준비한 후 Windows를 로드하는 데 필요한 파일이 포함됩니다. BitLocker는 이 드라이브에서 사용할 수 있게 설정되지 않습니다. BitLocker가 작동하려면 시스템 드라이브가 암호화되지 말아야 하고, 운영 체제 드라이브와 구분되어야 하며, NTFS 파일 시스템으로 포맷되어야 합니다. 시스템 드라이브는 1.5GB(기가바이트) 이상이어야 합니다.
    
    

BitLocker는 운영 체제 설치의 일부로 자동 설치됩니다. 하지만 제어판에서 또는 Windows 탐색기에서 드라이브를 마우스 오른쪽 단추로 클릭하여 액세스할 수 있는 BitLocker 설치 마법사를 통해 BitLocker를 설정하기 전까지는 BitLocker가 사용되지 않습니다.

시스템 관리자는 설치 및 초기 운영 체제 설정 후 아무 때나 BitLocker 설치 마법사를 사용하여 BitLocker를 초기화할 수 있습니다. 초기화 프로세스는 다음 두 단계로 구성됩니다.

1. TPM이 있는 컴퓨터에서는 TPM 설치 마법사나 제어판의 BitLocker 드라이브 암호화 항목을 사용하거나 초기화를 위해 설계된 스크립트를 실행하여 TPM을 초기화합니다.
   
   
2. BitLocker를 설치합니다. 제어판에서 BitLocker 설치 마법사를 시작합니다. 이 마법사는 설치 과정을 안내하고 고급 인증 옵션을 제공합니다.
   
   

로컬 관리자가 BitLocker를 초기화할 경우 관리자는 복구 암호 또는 복구 키도 만들어야 합니다. 복구 키나 복구 암호가 없으면 BitLocker로 보호되는 드라이브에 문제가 발생했을 때 암호화된 드라이브의 모든 데이터를 액세스 및 복구할 수 없습니다.

	참고
	BitLocker 및 TPM 초기화는 컴퓨터의 로컬 Administrators 그룹의 구성원이 수행해야 합니다.

BitLocker를 구성하고 배포하는 방법에 대한 자세한 내용은 Windows BitLocker 드라이브 암호화 단계별 가이드(https://go.microsoft.com/fwlink/?LinkID=140225(페이지는 영문일 수 있음))를 참조하십시오.

예를 들어 BitLocker는 엔터프라이즈의 기존 AD DS(Active Directory 도메인 서비스) 인프라를 사용하여 복구 키를 원격으로 저장할 수 있습니다. BitLocker는 설정 및 관리를 위한 마법사를 제공하며 스크립팅 지원과 함께 WMI(Windows Management Instrumentation) 인터페이스를 통한 확장성과 관리 편의성도 제공합니다. 또한 BitLocker에는 초기 부팅 프로세스에 통합되는 복구 콘솔이 있기 때문에 사용자 또는 기술 지원팀 담당자가 잠긴 컴퓨터에 대한 액세스를 다시 얻을 수 있습니다.

BitLocker용 스크립트 작성 방법에 대한 자세한 내용은 Win32_EncryptableVolume(https://go.microsoft.com/fwlink/?LinkId=85983(페이지는 영문일 수 있음))을 참조하십시오.

오늘날 많은 개인용 컴퓨터가 버려지고 처음 소유자나 사용자가 아닌 다른 사람에 의해 사용됩니다. 엔터프라이즈 시나리오에서 컴퓨터는 다른 부서로 재배포되거나 컴퓨터 하드웨어 표준 교환 주기의 일환으로 재활용될 수 있습니다.

암호화되지 않은 드라이브의 경우에는 드라이브를 포맷하더라도 데이터를 읽는 것이 가능합니다. 기업에서는 폐기된 드라이브의 데이터가 노출되는 위험을 줄이기 위해 드라이브를 여러 번 덮어쓰거나 물리적으로 파기하는 방법을 사용하기도 합니다.

BitLocker는 간단하고 비용 효율적인 폐기 프로세스의 구현에 도움을 줍니다. BitLocker로 데이터를 암호화하고 키를 제거하면 엔터프라이즈는 이 데이터가 노출될 위험을 영구적으로 줄일 수 있습니다. 모든 BitLocker 키를 제거하면 128비트 또는 256비트 AES 암호화를 크랙해야 하므로 BitLocker로 암호화된 데이터에 액세스하는 것은 거의 불가능합니다.

BitLocker를 사용해도 가능한 모든 공격으로부터 컴퓨터를 보호할 수는 없습니다. 예를 들어 악의적인 사용자 또는 바이러스나 루트킷과 같은 프로그램이 컴퓨터가 분실 또는 도난되기 전에 해당 컴퓨터에 액세스할 수 있었다면 나중에 암호화된 데이터에 액세스할 수 있도록 취약점을 미리 만들어 두었을 수 있습니다. 또한 USB 시작 키가 컴퓨터에 남아 있거나 PIN 또는 Windows 로그온 암호를 안전하게 지키지 않은 경우에는 BitLocker 보호가 효력을 발휘하지 못할 수 있습니다.

TPM 전용 인증 모드는 가장 쉽게 배포, 관리 및 사용할 수 있는 모드입니다. 또한 사용자가 없는 상태에서 실행되거나 다시 시작되어야 하는 컴퓨터에도 적합한 모드입니다. 하지만 TPM 전용 모드는 가장 낮은 수준의 데이터 보호를 제공합니다. 조직 일부의 이동 컴퓨터에 매우 중요한 정보가 있는 경우에는 해당 컴퓨터에 BitLocker를 다중 인증으로 배포하는 것을 고려하십시오.

BitLocker 보안 고려 사항에 대한 자세한 내용은 이동 PC용 데이터 암호화 도구 키트(https://go.microsoft.com/fwlink/?LinkId=85982(페이지는 영문일 수 있음))를 참조하십시오.

지점 같은 공유 환경 또는 안전하지 않을 가능성이 있는 환경의 경우 BitLocker를 사용하여 운영 체제 드라이브와 동일한 서버의 추가 데이터 드라이브를 암호화할 수 있습니다.

BitLocker는 Windows Server 2008 R2 설치 시 함께 설치되지 않습니다. Windows Server 2008 R2 서버 관리자 페이지에서 BitLocker를 추가해야 합니다. 서버에 BitLocker를 설치한 다음 다시 시작해야 합니다. WMI를 사용하면 BitLocker를 원격으로 사용 가능으로 설정할 수 있습니다.

BitLocker는 64비트 프로세서 아키텍처를 사용하는 EFI(Extensible Firmware Interface) 서버에서 지원됩니다.

	참고
	BitLocker는 클러스터 구성을 지원하지 않습니다.

드라이브가 BitLocker로 암호화 및 보호된 후 로컬 및 도메인 관리자는 제어판의 BitLocker 드라이브 암호화 항목에 있는 BitLocker 관리 페이지에서 암호를 변경하여 드라이브의 잠금을 해제하거나, 드라이브에서 암호를 제거하거나, 스마트 카드를 추가하여 드라이브의 잠금을 해제하거나, 복구 키를 다시 저장 또는 인쇄하거나, 드라이브의 잠금을 자동으로 해제하거나, 키를 복제하거나, PIN을 다시 설정할 수 있습니다.

	참고
	컴퓨터에서 사용할 수 있는 키 종류는 그룹 정책을 사용하여 제어할 수 있습니다. BitLocker와 그룹 정책을 함께 사용하는 방법에 대한 자세한 내용은 BitLocker 배포 가이드(https://go.microsoft.com/fwlink/?LinkID=140286(페이지는 영문일 수 있음))를 참조하십시오.

관리자는 다음과 같은 경우 BitLocker를 일시적으로 사용하지 않도록 설정할 수 있습니다.

• 유지 관리를 위해 사용자 입력(예를 들어 PIN 또는 시작 키) 없이 컴퓨터를 다시 시작하는 경우
  
  
• BIOS를 업데이트하는 경우
  
  
• 선택적 읽기 전용 메모리(옵션 ROM)가 있는 하드웨어 구성 요소를 설치하는 경우
  
  
• BitLocker 복구를 트리거하지 않은 채 중요한 초기 부팅 구성 요소를 업그레이드하는 경우. 예를 들면 다음과 같습니다.
  
  
  • MBR(마스터 부트 레코드)을 변경할 수 있는 작업인 다른 버전의 운영 체제 또는 다른 운영 체제를 설치하는 경우
    
    
  • 파티션 테이블을 변경할 수 있는 디스크 다시 분할을 수행하는 경우
    
    
  • TPM으로 검증되는 부팅 구성 요소를 변경하는 다른 시스템 작업을 수행하는 경우
    
    
• BitLocker 복구를 트리거하지 않은 채 마더보드를 업그레이드하여 TPM을 교체하거나 제거하는 경우
  
  
• BitLocker 복구를 트리거하지 않은 채 TPM을 사용하지 않도록 설정하거나 지우는 경우
  
  
• BitLocker 복구를 트리거하지 않은 채 BitLocker로 보호되는 디스크 드라이브를 다른 컴퓨터로 옮기는 경우
  
  

이 시나리오를 통틀어 컴퓨터 업그레이드 시나리오라고 합니다. BitLocker는 제어판의 BitLocker 드라이브 암호화 항목을 통해 사용하거나 사용하지 않도록 설정할 수 있습니다.

BitLocker로 보호되는 컴퓨터를 업그레이드하려면 다음 단계를 수행해야 합니다.

1. BitLocker를 사용 안 함 모드로 전환하여 BitLocker를 일시적으로 사용하지 않도록 설정합니다.
   
   
2. 시스템 또는 BIOS를 업그레이드합니다.
   
   
3. BitLocker를 다시 켭니다.
   
   

BitLocker를 강제로 사용 안 함 모드로 전환하면 드라이브는 암호화된 상태로 유지되지만 드라이브 마스터 키는 하드 디스크에 암호화되지 않은 상태로 저장된 대칭 키를 사용하여 암호화됩니다. 이 암호화되지 않은 키가 있으면 BitLocker가 제공하는 데이터 보호가 비활성화되지만 이후 컴퓨터 시작은 추가적인 사용자 입력 없이 성공적으로 수행됩니다. BitLocker를 다시 실행하면 암호화되지 않은 키가 디스크에서 제거되고 BitLocker 보호가 다시 사용됩니다. 또한 드라이브 마스터 키가 다시 대조되고 암호화됩니다.

드라이브 마스터 키를 보호하는 키는 디스크에 암호화되지 않은 채 저장되기 때문에 암호화된 드라이브(즉, 물리적 디스크)를 BitLocker로 보호되는 다른 컴퓨터로 이동할 경우 추가적인 단계가 필요 없습니다.

	주의
	이러한 키가 암호화되지 않은 키로 노출된 경우 공격자가 드라이브 마스터 키와 전체 드라이브 암호화 키에 액세스할 수 있기 때문에 드라이브 마스터 키가 잠시라도 노출되는 것은 보안상 위험합니다.

BitLocker를 사용하지 않도록 설정하는 방법에 대한 자세한 내용은 Windows BitLocker 드라이브 암호화 단계별 가이드(https://go.microsoft.com/fwlink/?LinkID=140225(페이지는 영문일 수 있음))를 참조하십시오.

다음과 같은 여러 시나리오에서 복구 프로세스를 트리거할 수 있습니다.

• BitLocker로 보호된 드라이브를 새 컴퓨터로 이동하는 경우
  
  
• 새 TPM이 장착된 새 마더보드를 설치하는 경우
  
  
• TPM을 해제하거나 사용하지 않도록 설정하거나 지운 경우
  
  
• BIOS를 업데이트하는 경우
  
  
• 옵션 ROM을 업데이트하는 경우
  
  
• 시스템 무결성 검사 실패의 원인이 되는 중요한 초기 부팅 구성 요소를 업그레이드하는 경우
  
  
• PIN 인증을 사용하도록 설정되어 있는데 PIN을 잊어버린 경우
  
  
• 시작 키 인증을 사용하도록 설정되어 있는데 시작 키가 포함된 USB 플래시 드라이브를 분실한 경우
  
  

또한 관리자는 액세스 제어 메커니즘으로 복구를 트리거할 수도 있습니다(예를 들어 컴퓨터 재배포 도중). 관리자는 암호화된 드라이브를 잠그고 사용자에게 드라이브 잠금을 해제하기 위해 BitLocker 복구 정보를 얻도록 요청할 수 있습니다.