BitLocker란 무엇이며 안전한가요?

BitLocker는 PC나 노트북을 도난당하거나 제3자의 손에 넘어갈 경우 데이터를 보호하기 위한 Windows의 내장 전체 디스크 암호화 솔루션입니다. 최근 Microsoft가 일상적으로 FBI와 같은 법 집행 기관에 BitLocker 백업 키를 넘겨준다(새 창)는 뉴스로 인해 BitLocker(및 해당 축소판인 기기 암호화)를 사용하는 것이 안전한지에 대한 관심이 쏠렸습니다.

• BitLocker란 무엇인가요?
• BitLocker 대 기기 암호화
• BitLocker는 어떻게 작동하나요?
• BitLocker 복구 키란 무엇인가요?
• 복구 키는 어디에 저장됨 상태인가요?
• BitLocker는 안전한가요?
• FBI가 내 데이터를 가져갈 수 있나요?
• 대안적 암호화 솔루션
• 최종 생각

BitLocker란 무엇인가요?

BitLocker는 Microsoft Windows에 내장된 전체 디스크 암호화 기능입니다. 기기를 분실하거나 도난당하거나 승인 없이 접근한 경우 중요한 데이터가 보호되도록 전체 시스템 드라이브를 암호화합니다.

전체 디스크 암호화는 디스크에 있는 모든 파일이 암호화됨 처리됨을 의미합니다. 개별 파일은 암호화하지 않지만 선택적으로 사용하여 다른(비시스템) 드라이브를 암호화할 수 있습니다.

엄밀히 말하면 BitLocker는 Windows Pro, Enterprise 및 Education 에디션에서만 사용할 수 있습니다. 그러나 Windows Home에는 기기 암호화가 포함되어 있습니다(지원되는 하드웨어 및 Microsoft 계정으로 로그인한 경우 기본으로 활성화됨). 이것은 BitLocker와 동일한 기술을 사용하지만 구성 가능성이 훨씬 적습니다.

BitLocker 대 기기 암호화

기기 암호화는 옵션이 더 적은 단순화된 자동 BitLocker 설정입니다. BitLocker의 경우:

• 전체 BitLocker 제어를 얻을 수 있습니다
• 키 보호 방법(PIN, USB 키 등)을 선택할 수 있습니다

기기 암호화의 경우:

• 암호화 설정을 세부사항하게 관리할 수 없습니다
• 전원이 켜질 때 PIN을 요구할 수 없습니다
• 복구 키는 Microsoft 계정에 자동으로 백업됩니다
• 신뢰됨 플랫폼 모듈(TPM)이 필요합니다(아래 참조).
• Microsoft 계정으로 로그인할 때 암호화가 자동으로 켜질 수 있습니다

BitLocker는 어떻게 작동하나요?

Windows PC의 전원이 꺼져 있거나 디스크가 오프라인 상태일 때 전체 드라이브는 암호화됨 상태로 유지됩니다. 대부분의 최신 Windows 시스템에서 암호화 키는 신뢰됨 플랫폼 모듈(TPM)이라는 마더보드의 작은 보안 칩에 의해 보호되며, 시스템이 승인되지 않음: 상태가 아닌 경우에만 키를 해제합니다. 이 하드웨어 기반 보호는 Microsoft가 Windows 11에 대해 TPM 2.0 지원을 요구하는 주된 이유 중 하나입니다.

PC를 시작하면 Windows가 로드되기 전에 TPM이 무결성 검사를 수행합니다. 이러한 검사는 변조 징후를 찾으며 기기의 하드웨어, 펌웨어 또는 부팅 설정의 중대한 변경으로 인해 트리거될 수도 있습니다.

모든 것이 정상으로 보이면 TPM이 자동으로 암호화 키를 해제하고 BitLocker가 드라이브의 잠금을 해제하여 Windows가 정상적으로 시작할 수 있도록 합니다. 이 과정은 백그라운드에서 발생하므로 일반적으로 눈치채지 못합니다.

BitLocker와 기기 암호화의 중요한 차이점은 유연성입니다. 기기 암호화는 TPM이 필요하고 자동으로 작동하는 BitLocker의 단순화된 버전인 반면, BitLocker는 비밀번호, PIN 또는 USB 보안 키와 같은 대안에 의존하여 TPM 없이도 사용할 수 있습니다.

TPM이 문제을(를) 감지하면 (또는 대안적인 보안 조치가 충족되지 않으면) BitLocker는 복구 키를 요구할 것입니다. 복구 키가 없으면 Windows가 로드되지 않으며 데이터가 안전하게 암호화됨 상태로 유지되어 승인되지 않은 접근을 방지합니다.

BitLocker 복구 키란 무엇인가요?

BitLocker 복구 키는 일반적인 방법(비밀번호, PIN, TPM 등)으로 접근할 수 없는 경우 BitLocker로 암호화된 드라이브의 잠금을 해제할 수 있는 48자리 숫자 백업입니다.

복구 키는 어디에 저장됨 상태인가요?

이는 Windows 버전과 설정에 따라 다릅니다.

Windows Home(기기 암호화 사용 시):

키는 Microsoft 계정에 자동으로 저장됩니다.

• 찾으려면(PC가 부팅되지 않는 경우 다른 기기에서) account.microsoft.com/devices/recoverykey(새 창)로 이동하여 Microsoft 사용자 이름과 비밀번호를 사용하여 로그인합니다.

Windows Pro 및 Enterprise(전체 BitLocker 사용 시)

저장할 위치를 선택합니다:

• Microsoft 계정(위와 같음)
• USB 드라이브
• 다른 드라이브에 있는 파일
• 인쇄된 사본
• Active Directory(기업 환경용으로, 조직에서 복구 키 및 암호화 정책을 중앙에서 관리할 수 있음)

BitLocker는 안전한가요?

BitLocker가 보호하는 대상

위협 시나리오	BitLocker가 귀하를 보호하나요?	메모
분실하거나 도난당한 노트북(전원 꺼짐)	예(강력한 보호)	디스크는 암호화됨 상태로 유지되며, 공격자는 복구 키 또는 PIN이 필요합니다.
당국에 의해 압수된 기기(전원 꺼짐)	부분적으로	강력한 암호화 기술이지만, 복구 키가 Microsoft 계정에 저장됨 상태인 경우 법적 절차를 통해 얻을 수 있습니다.
수면 또는 최대 절전 모드 중에 노트북을 도난당함	대부분	보호되지만 일부 고급 공격(예: 콜드 부트(새 창) 또는 DMA(새 창))은 키를 추출할 수 있습니다.
로그인/잠금 해제 상태에서 노트북 도난당함	아니요	디스크가 복호화되어 있으므로 공격자가 전체 접근 권한을 갖습니다.
Windows가 실행 중일 때 멀웨어 또는 원격 해커	아니요	전체 디스크 암호화는 소프트웨어 유출로부터 보호하지 않습니다.
사악한 메이드 공격	부분적으로	TPM은 많은 변화를 감지하지만, 정교한 공격은 측정값을 우회하거나 모방할 수 있습니다.
Microsoft 계정 해킹됨	아니요(Microsoft에 키가 있는 경우)	공격자가 복구 키를 검색하여 오프라인에서 디스크를 복호화할 수 있습니다.
비밀번호 또는 PIN을 잊은 경우	경우에 따라 다릅니다	복구 키가 필요합니다. 복구 키가 없으면 데이터가 영구적으로 손실됩니다.

기술적 보안

BitLocker는 AES 암호화 알고리즘을 사용하여 데이터를 보호합니다. 최신 시스템에서는 미사용 데이터의 보호를 강화하기 위해 XTS 모드(새 창)의 AES-256이 기본으로 설정되어 있습니다. 이는 매우 안전합니다.

구형 시스템은 CBC 모드(새 창)에서 최소 AES-128을 사용할 수 있습니다. 이는 여전히 대부분의 공격자로부터 데이터를 보호할 만큼 강력하지만, 국가 수준의 위협 행위자와 같은 고도로 정교한 적은 잠재적으로 고급 공격을 시도할 수 있습니다.

BitLocker는 계층형 키 관리 시스템을 사용합니다. 최상위 수준에는 실제 데이터 암호화 키(전체 볼륨 암호화 키 또는 FVEK)를 암호화하는 볼륨 마스터 키(VMK)가 있습니다.

그런 다음 VMK 자체는 TPM 칩(그리고/또는 BitLocker 정식 버전을 사용하는 경우 비밀번호, PIN, USB 키 또는 이들의 조합)과 같은 하나 이상의 인증 방법으로 보호됩니다. 이러한 설계를 통해 전체 드라이브를 다시 암호화할 필요 없이 귀하의 비밀번호를 변경할 수 있습니다.

BitLocker의 안전성은 전적으로 복구 키에 달려 있습니다.

따라서 복구 키가 안전한 한, 귀하의 Windows 기기가 꺼져 있을 때 데이터는 매우 안전합니다(이 부분은 나중에 다시 다루겠습니다).

BitLocker를 귀하의 귀중한 데이터를 보호하는 문이라고 상상해 보십시오. 그러면 복구 키는 그 문의 열쇠와 같습니다. 문을 부수고 데이터를 얻는 것은 거의 불가능한 일이지만 열쇠가 있으면 간단히 잠금을 해제할 수 있습니다. 따라서 복구 키는 약점입니다.

복구 키를 귀하의 Microsoft 계정에 업로드할 때 특히 그렇습니다. 최근 이벤트에서 볼 수 있듯이, Microsoft는 사용자의 복구 키를 제3자에게 넘겨줄 수 있으며 실제로 그렇게 하고 있습니다. 제3자는 이를 사용하여 귀하의 데이터에 접근할 수 있습니다.

오프라인 전용

또 다른 중요한 고려 사항은 BitLocker가 귀하의 Windows PC가 꺼져 있을 때만 데이터를 보호한다는 것입니다. Windows가 실행되면 디스크가 복호화되며 컴퓨터에 접근할 수 있는 사람은 누구나 귀하의 데이터에 접근할 수 있습니다. 이는 물리적 접근이나 디지털 접근(예: 해킹 당한 경우)을 의미할 수 있습니다.

이는 BitLocker뿐만 아니라 모든 전체 디스크 암호화 솔루션에 적용되지만, 귀하의 위협 모델에 따라 유념할 가치가 있습니다.

이블 메이드 공격(Evil maid attacks)

이블 메이드 공격(새 창)은 누군가 귀하의 기기에 일시적으로 물리적 접근을 한 후(예: 호텔이나 국경에서) 나중에 암호화 키나 PIN을 훔칠 수 있도록 비밀리에 수정하는 것을 말합니다. 암호화를 해킹하는 대신 시스템을 속여 이를 노출하도록 합니다.

기본으로 대부분의 PC는 TPM을 통한 자동 잠금 해제와 함께 BitLocker를 사용하며, 이는 도난에는 강하지만 조작에는 약합니다. 이블 메이드 공격을 방어하려면 디스크가 자동으로 잠금 해제되지 않도록 부팅 전 PIN 또는 USB 키와 함께 BitLocker를 활성화해야 합니다. 안타깝게도 기본 기기 암호화를 사용하는 Windows Home에서는 이 기능을 사용할 수 없습니다.

FBI가 내 데이터를 가져갈 수 있습니까?

결론부터 말하자면, 그렇습니다. Microsoft는 미국 기업이므로 법적 구속력이 있는 법원 명령 및 사법부의 감독 없이 방대한 양의 개인 데이터와 메타데이터를 정부 조직에 넘기도록 강제하는 국가안보서한(새 창)(NSL)과 같은 기타 법적 수단을 준수해야 합니다. 이러한 서한에는 일반적으로 회사에서 사용자에게 NSL을 송달받았다는 사실을 알리지 못하도록 하는 함구령이 수반됩니다.

2016년 Apple은 테러 용의자의 iPhone 잠금 해제(새 창)를 요구하는 법원의 지원을 받은 FBI의 요구에 맞서 격렬한 싸움을 벌였으며, 이는 FBI가 제3자를 고용하여 Apple의 암호화를 성공적으로 해킹했을 때 비로소 해결되었습니다. 이러한 사건의 재발을 막기 위해 이후 Apple은 자사 제품에 종단 간 암호화를 구현하는 방향으로 전환했습니다. 결국 가지고 있지도 않은 암호화 키를 넘겨줄 수는 없기 때문입니다.

그러나 Microsoft는 그러한 의향을 보여주지 않았습니다. 귀하가 BitLocker 복구 키를 귀하의 Microsoft 계정에 업로드할 때 이를 암호화하는 것은 Microsoft이며, (필요한 경우) 이를 복호화할 수 있는 것도 Microsoft입니다. 따라서 Microsoft는 언제든지 귀하의 복구 키에 접근할 수 있습니다.

2025년에 FBI는 괌의 사기 혐의 조사와 관련된 세 대의 노트북에 저장된 암호화된 데이터를 잠금 해제하는 데 필요한 BitLocker 복구 키를 제공할 것을 Microsoft에 요청(새 창)했습니다. Microsoft는 이에 응했으며, 대변인은 Forbes에 연간 약 20건의 BitLocker 키 요청을 받는다고 밝혔습니다. 대부분의 경우 이러한 키가 Microsoft 계정에 저장되어 있지 않기 때문에 Microsoft는 요청에 응할 수 없습니다. 하지만 그 의미는 명확합니다. 도울 수 있다면 도울 것이라는 점입니다.

대안 암호화 솔루션

전체 디스크 암호화 복구 키에 대해 Microsoft를 신뢰하지 않으려는 경우, 몇 가지 옵션이 있습니다.

1. Windows Pro 사용

이미 Windows Pro(또는 Enterprise)를 사용하고 있다면 이것이 가장 간단한 솔루션입니다. Windows Home을 실행 중인 경우 새 라이선스를 구매하고 업그레이드해야 합니다.

1. Windows 11 Pro에서 설정 앱을 열고 개인정보 및 보안 → BitLocker 드라이브 암호화로 이동합니다. Windows Home에서 방금 업그레이드했거나 Pro를 사용하지만 이미 Microsoft에 복구 키를 업로드한 경우(Microsoft 계정을 사용하여 Windows에 로그인하는 경우의 기본 동작), BitLocker를 끄고 귀하의 드라이브가 복호화될 때까지 기다려야 합니다.

2. account.microsoft.com/devices/recoverykey(새 창)로 이동하여 거기에 있는 모든 키를 삭제합니다. 이 작업을 수행하기 전에 귀하의 드라이브가 복호화되었는지 반드시 확인하십시오!

3. 그런 다음 BitLocker를 다시 켜고 원하는 복구 키 백업 방법을 선택할 수 있습니다.

2. 대신 VeraCrypt 사용

충분히 이해할 수 있듯이 Microsoft의 솔루션을 완전히 피하는 것을 선호할 수 있습니다(결국 비공개 소스 코드가 실제로 어떤 일을 하고 있는지 누가 알겠습니까?).

VeraCrypt(새 창)는 여러 보안 감사(특히 2016년 QuarksLab(새 창) 및 2020년 Fraunhofer 연구소(새 창))를 거친 오픈 소스 전체 디스크 암호화 소프트웨어입니다. 문제가 발견되었지만 VeraCrypt는 활발하게 개발 중이므로 수정되었습니다. 또한 100% 무료라는 상당한 이점이 있습니다(물론 가능하다면 기부하는 것을 권장합니다). 전체 디스크 암호화 외에도 VeraCrypt는 다음 작업을 수행할 수 있습니다.

• 실제 디스크처럼 마운트하여 사용할 수 있는 가상 암호화된 디스크(볼륨) 생성(숨겨진 볼륨으로 만들 수도 있음)
• 전체 운영 체제가 포함된 파티션 또는 저장공간 드라이브 생성(숨길 수 있음). 모든 올바른 예방 조치(새 창)를 취하는 한 존재를 증명하는 것이 불가능해야 하므로 이는 그럴듯한 부인(plausible deniability)(새 창)을 제공합니다.

데이터는 기본으로 XTS-AES-256(BitLocker에서 사용하는 것과 동일한 설정)을 사용하여 암호화되지만, 원하는 경우 여러 대체 암호화 알고리즘(예: Twofish) 중에서 선택할 수 있습니다. 접근은 패스프레이즈 그리고/또는 키 파일(매우 안전한 곳에 저장해야 함)을 사용하여 보호됩니다.

VeraCrypt를 설치하기 전에 BitLocker 또는 기기 암호화를 끄고 귀하의 드라이브를 복호화해야 합니다(위에서 설명한 대로 진행하되, Windows 11 Home의 경우 설정 앱을 열고 개인정보 보안 → BitLocker 드라이브 암호화로 이동합니다).

3. Windows 버리기

전체 디스크 암호화 복구 키와 관련하여 Microsoft를 신뢰할 수 없다면, 굳이 그들의 운영 체제를 사용할 이유가 있을까요? Windows에서 벗어나려면 두 가지 실질적인 옵션이 있습니다.

macOS

Mac은 비싸고 매우 독점적이며 매우 통제된 사용자 경험을 제공합니다. 하지만 PC가 할 수 있는 거의 모든 작업을 수행할 수 있으며, Microsoft와 달리 Apple은 정부의 암호화된 기기 접근 지원 요구에 저항해 온 역사가 있습니다.

macOS에 내장된 전체 디스크 암호화 솔루션은 FileVault라고 하며, Mac을 설정할 때 선택하여 활성화할 수 있습니다. 이 작업을 수행하면 FileVault에서 복구 키를 iCloud 계정에 업로드하도록 제안하며, 여기서 Apple이 접근하여 제3자에게 넘겨줄 가능성이 있습니다. 그러나 로컬 복구 키만 선택하여 숫자 키를 생성한 후, 이를 적어두어 안전하게 보관하거나 비밀번호 관리자에 추가할 수 있습니다.

또 다른 옵션은 종단 간 암호화를 사용하여 귀하의 iCloud 데이터를 보호하는 선택적 iCloud용 고급 데이터 보호(새 창) 설정을 활성화하는 것입니다. 이는 Apple이 귀하의 FileVault 복구 키(또는 iCloud에 업로드된 기타 데이터)에 접근할 수 없음을 의미합니다. 하지만 고급 데이터 보호는 모든 지역의 사용자에게 제공되는 것은 아닙니다(특히 영국(새 창)).

Linux

Linux는 기존 하드웨어에 설치할 수 있는 완전 무료 오픈 소스 운영 체제입니다(리소스가 많이 필요한 Windows보다 거의 확실하게 더 잘 실행될 것입니다). 플랫폼에서 사용할 수 없는 몇 가지 독점적인 앱(특히 Adobe 제품 등, 대다수에 대해 좋은 무료 오픈 소스 대안이 존재함)을 제외하면 Linux는 Windows와 macOS가 할 수 있는 모든 것을 할 수 있습니다.

Linux는 다양한 “버전”(배포판 또는 단순하게 배포판이라고 함)으로 제공되지만 거의 모든 배포판에서 LUKS 전체 디스크 암호화 시스템을 사용하며, 운영 체제를 설치할 때 선택할 수 있습니다.

LUKS에는 BitLocker 또는 FileVault와 같은 단일 “복구 키”가 없습니다. 대신 기기에 저장되어 귀하가 선택한 백업 방법으로 잠금을 해제할 수 있는 무작위 마스터 키를 사용합니다. 여기에는 다음이 포함됩니다.

• 두 번째 패스프레이즈
• 인쇄된 복구 패스프레이즈
• 오프라인으로 저장된 키 파일
• TPM으로 봉인된 키(대체 패스프레이즈 포함)

BitLocker 및 전체 디스크 암호화에 대한 최종 생각

순수하게 기술적인 관점에서 볼 때 BitLocker는 강력하고 잘 설계된 전체 디스크 암호화 시스템입니다. 현대적인 암호화, 하드웨어 지원 키 저장공간 및 계층형 키 관리를 사용하여 분실 또는 도난당한 기기와 같은 일반적인 위협으로부터 귀하의 데이터를 보호하는 데 매우 효과적입니다. 대부분의 Windows 사용자에게 BitLocker는 최소한의 노력으로 의미 있고 신뢰할 수 있는 보호를 제공합니다. 위협 모델이 도난당한 노트북인 경우 BitLocker로 충분한 경우가 많습니다.

그러나 법 집행 기관에 대한 Microsoft의 협조에 대한 최근 폭로에서 알 수 있듯이, 모든 암호화 시스템의 보안은 궁극적으로 누가 키를 쥐고 있느냐에 달려 있습니다. 위협 모델에 따라 BitLocker 복구 키가 귀하의 Microsoft 계정에 저장된다는 사실은 심히 우려될 수 있습니다.

다행히도 대안이 있습니다. Windows Pro에서는 귀하가 직접 복구 키를 관리할 수 있으며, VeraCrypt와 같은 오픈 소스 도구는 훌륭한 무료 대안을 제공합니다. 로컬에 저장된 FileVault 키가 있는 macOS 또는 LUKS가 있는 Linux와 같이 Microsoft에서 완전히 벗어나 플랫폼을 전환하는 것도 강력한 옵션입니다.