TPM 잠금 다시 설정

TPM(신뢰할 수 있는 플랫폼 모듈)은 훼손이나 공격으로부터 보호하기 위해 스스로를 잠그는데, 이를 '잠금'이라고 합니다. TPM 잠금은 대개 컴퓨터를 끌 때까지 또는 지정한 시간 동안 지속됩니다. TPM이 잠금 모드에 있는 동안 권한 부여 값을 요구하는 명령을 수신하면 일반적으로 오류를 반환합니다. 예외적으로, 잠금 모드에 있는 동안에도 항상 소유자가 한 번 이상 TPM 잠금을 다시 설정할 수 있도록 허용됩니다. TPM이 잠금 모드로 들어갈 때나 명령에 느리게 응답할 때는 잠금 값을 다시 설정하는 것이 좋습니다. TPM 잠금을 다시 설정하려면 TPM 소유자 권한 부여가 필요합니다. TPM 소유자 권한 부여는 관리자가 처음 TPM 소유권을 가져올 때 설정됩니다. 소유자 권한 부여 암호가 해시되어 소유자 권한 부여 값이 만들어진 다음 TPM에 저장됩니다. 관리자는 XML 구조 내에 소유자 권한 부여 해시 값이 포함된, 확장명이 .tpm인 TPM 소유자 암호 파일에 소유자 권한 부여 해시 값을 저장하는 것이 좋습니다. 보안을 위해 TPM 소유자 암호 파일에는 원래 소유자 암호가 포함되지 않습니다. TPM 소유권은 일반적으로 컴퓨터에 대해 BitLocker 드라이브 암호화를 처음 설정할 때 가져옵니다. 이러한 경우 TPM 소유자 권한 부여 암호가 BitLocker 복구 키와 함께 저장됩니다. 즉, BitLocker 복구 키가 파일에 저장될 때 TPM 소유자 암호 해시 값이 있는 TPM 소유자 암호 파일(.tpm)도 함께 저장됩니다. BitLocker 복구 키를 인쇄하면 TPM 소유자 암호도 함께 인쇄됩니다. 조직의 그룹 정책 설정이 적절히 구성되어 있는 경우 TPM 소유자 암호 해시 값을 AD DS(Active Directory 도메인 서비스)에 저장할 수도 있습니다.

TPM 보호 메커니즘 이해

일부 경우 TPM은 키에 액세스하려면 올바른 권한 부여 값을 입력하도록 요구하는 방식으로 암호화 키를 보호합니다. 일반적인 예로 TPM과 함께 PIN 키 보호기를 사용하도록 BitLocker 드라이브 암호화를 구성하는 경우를 들 수 있습니다. 이 경우 부팅하는 동안 올바른 PIN을 입력해야만 TPM으로 보호되는 볼륨 암호화 키에 액세스할 수 있습니다. TPM은 악의적인 제 3자가 권한 부여 값을 찾아낼 수 없도록 보호 논리를 구현합니다. 이 보호 논리는 악의적인 제 3자가 권한 부여 값을 추측하려 한다는 것을 감지하면 TPM의 응답을 느리게 하거나 중지하도록 설계되었습니다.

TCG(Trusted Computing Group) 조직에서 명시하는 업계 표준에 따라 TPM 제조업체는 TPM 1.2 칩에 일정한 형태의 보호 논리를 구현해야 합니다. TPM 제조업체마다 각기 다른 메커니즘과 동작을 구현하고 있지만 올바르지 않은 권한 부여 값이 TPM으로 전송될 경우 응답 시간을 현저히 늘리는 방법을 따르고 있습니다. TPM 칩에 따라 일부는 시간이 경과함에 따라 실패한 시도를 저장하지 않지만 다른 일부는 실패한 모든 시도를 무한정 저장합니다. 따라서 사용하는 칩에 따라, 권한 부여 값을 잘못 입력하여 TPM으로 전송된 경우 지연 시간이 늘어나 일정 시간 동안 TPM을 사용하지 못하게 될 수도 있습니다. 이 경우 다음 절차를 완료하여 TPM의 보호 메커니즘을 다시 설정할 수 있습니다.

참고

TPM의 보호 논리는 TPM 소유자 권한 부여 값에도 적용됩니다. 업계 표준에서는 TPM이 잠금 모드인 경우를 비롯하여 사용자가 소유자 권한 부여 값을 사용하여 TPM 잠금을 한 번 이상 다시 설정할 수 있도록 명시하고 있습니다. TPM 잠금을 다시 설정할 때 잘못된 값을 사용한 경우에는 이후에 올바른 사용자 권한 부여 값을 입력해도 잘못된 값으로 인식되거나 TPM이 잠금 모드에 있다는 메시지가 표시될 수 있습니다.

TPM 잠금을 다시 설정하려면

TPM 관리 스냅인(tpm.msc)을 엽니다.
작업 창에서 TPM 잠금 다시 설정을 클릭하여 TPM 잠금 다시 설정 마법사를 시작합니다.
TPM 소유자 암호를 입력하는 방법을 선택합니다.
- TPM 소유자 암호를 .tpm 파일에 저장한 경우 소유자 암호 파일이 있음을 클릭한 다음 파일 경로를 입력하거나 찾아보기를 클릭하여 파일 위치를 찾습니다.
- TPM 소유자 암호를 직접 입력하려면 소유자 암호 입력를 클릭한 다음 표시되는 입력란에 암호를 입력합니다. BitLocker와 TPM을 동시에 사용하도록 설정했으며 BitLocker를 켤 때 BitLocker 복구 암호를 인쇄하도록 선택한 경우 TPM 소유자 암호도 같은 용지에 인쇄될 수 있습니다.

TPM 소유자 암호가 인증되고 나면 TPN 잠금이 다시 설정되었음을 확인하는 대화 상자가 표시됩니다.

FAQ(질문과 대답)

어떤 경우에 TPM 잠금을 다시 설정해야 합니까?

대개 TPM과 PIN으로 구성된 키 보호기를 사용하며 잘못된 PIN을 입력했을 때 부팅하는 동안 응답 속도가 느리면 TPM 잠금을 다시 설정합니다. 잘못된 PIN을 입력했으며 TPM이 잠금 모드에 있다는 메시지가 나타날 때까지 일정 시간 동안 시스템이 정지된 것처럼 보일 수도 있습니다. TPM이 잠겨 있는 경우에는 사용자가 올바른 PIN을 입력하더라도 잘못된 PIN을 입력했을 때처럼 TPM이 일정 시간 동안 응답할 수도 있습니다. 권한 부여 값과 함께 TPM을 사용하는 다른 응용 프로그램에서도 비슷한 동작이 발생할 수 있지만, 운영 체제를 이미 시작한 경우 일반적으로 TPM과 통신하는 응용 프로그램만 응답하지 않을 확률이 높습니다. TPM은 TPM으로 전송된 잘못된 모든 권한 부여 시도를 무한정 저장하기 때문에 BitLocker PIN과 같은 권한 부여 값을 잘못 입력하는 경우가 잦은 경우에는 사전에 TPM 잠금을 다시 설정하여 이를 방지할 수 있습니다.

권한 부여 값을 보호하기 위해 TPM 보호 논리를 활성화하면 어떤 동작이 나타납니까?

하드웨어 플랫폼의 동작은 플랫폼 제조업체에서 선택한 구현 방법에 따라 다릅니다. 일반적으로 하드웨어 제조업체에서는 TPM 칩의 응답 시간을 현저히 늘리는 방법을 사용하고 있습니다. TPM 칩이 응답은 하되 일정 시간 동안 권한 부여 값이 올바른데도 올바르지 않은 것처럼 응답할 수도 있습니다. 동작에 대한 자세한 내용은 플랫폼 제조업체에 문의하십시오.

BitLocker를 사용하는데 현재 TPM이 잠겨 있는 경우 부팅하는 동안 BitLocker 복구 콘솔을 열거나 기다렸다가 PIN을 다시 입력하는 방법이 있습니다.

Windows가 시작되면 TPM 관리에서 TPM이 현재 잠겨 있는 상태로 표시됩니다.

TPM이 잠겨 있는 동안 권한 부여 값과 관련된 명령이나 TPM 소유자 암호를 TPM에 보내려고 하면 오류가 발생합니다.

TPM 소유자 암호가 기억나지 않을 경우 어떻게 해야 합니까?

관리자가 사용자 컴퓨터의 TPM에 대한 소유권을 가져올 때 확장명이 .tpm인 파일에 TPM 소유자 권한 부여 해시 값을 저장했을 수 있습니다. 파일 시스템에서 .tpm으로 끝나는 파일을 검색해 보십시오. BitLocker 복구 암호를 인쇄해 둔 경우 TPM 소유자 암호도 함께 인쇄되었을 수 있습니다. 그래도 TPM 소유자 암호를 찾을 수 없으면 TPM을 지우고 소유권을 다시 가져올 수 있습니다. TPM으로 암호화된 데이터가 손실될 수 있으므로 주의해서 지워야 합니다. BitLocker를 사용하는 경우 TPM을 지우기 전에 BitLocker를 중단하거나 끄십시오. TPM을 지우는 방법에 대한 자세한 내용은 TPM 지우기를 참조하십시오.

TPM 소유자 권한 부여 해시 값을 안전하게 보호해야 합니까?

예, 보안을 유지해야 합니다. 악의적인 제 3자가 TPM 소유자 권한 부여 해시 값을 획득하면 여러 차례에 걸쳐 암호화 키 권한 부여 값(예: BitLocker PIN)을 추측하려고 시도하거나, TPM 소유자 권한 부여 해시 값을 사용하여 TPM 잠금을 다시 설정하거나 무한정 반복할 수 있습니다. 권한 부여 값의 크기가 작을 경우 결국에는 발견될 수 있습니다.

TPM 소유자 암호와 TPM 소유자 권한 부여 해시 값은 어떤 관련이 있습니까?

TPM 소유자 암호는 SHA-1을 사용하여 해시되며 base-64로 인코딩되어 TPM 소유자 권한 부여 해시 값이 만들어집니다.