보안
BitLocker 드라이브 암호화의 발전
Byron Hynes
한 눈에 보기:
- BitLocker 기능 향상
- BitLocker 구하기 및 설치
- 서버에서 BitLocker 사용
- 완벽한 데이터 보호를 위한 고려 사항
작년에 저는 TechNet Magazine을 통해 보안 문제를 다루면서 초기 Windows Vista 릴리스에서 Windows BitLocker 드라이브 암호화를 어떻게 구현했는지 설명하기 위해 Windows BitLocker의 몇 가지 기능을 간단히 소개한 바 있습니다. 그리고 이제
Windows Vista® 서비스 팩 1과 새로운 Windows Server® 2008 운영 체제가 릴리스되었으므로 BitLocker®에 대해 다시 살펴볼 때가 되었습니다.
이 기사에서는 최신 버전의 몇 가지 달라진 점을 설명하고, BitLocker를 서버에 설치하여 사용하는 방법을 간단히 알아본 다음, 최근 보고된 고려할 사항을 일부 소개합니다. 작년의 기사 "BitLocker 드라이브 암호화를 사용하여 데이터를 보호하기 위한 핵심 사항"을 보려면 technet.microsoft.com/magazine/cc138009.aspx로 이동하십시오.
새로운 기능
BitLocker 이번 릴리스에 도입된 새로운 기능으로 기본 작업의 변화 없이 유연성이 향상되었습니다. 여기서는 데이터 볼륨 지원, 시스템 액세스 3단계 인증 허용, 64비트 시스템을 위한 새로운 산업 표준 펌웨어인 UEFI(Unified Extensible Firmware Interface) 지원, 볼륨 메타데이터의 암호화 공격에 대한 보호 향상, TPM(신뢰할 수 있는 플랫폼 모듈) 사용 폭 확대 등의 변경 사항에 대해 알아보겠습니다.
데이터 볼륨
Windows Vista가 처음 출시되었을 때는 BitLocker 제어판에서 Windows® 운영 체제 볼륨(일반적으로 C: 드라이브)에 대해서만 암호화를 설정할 수 있었습니다. 가정용 컴퓨터는 보통 모든 사용자 데이터와 프로그램을 운영 체제와 동일한 볼륨에 저장하도록 구성되어 있기 때문에 일반 사용자의 경우 대개 이 기능으로 충분했습니다. 그러나 기업의 경우, 특히 서버 컴퓨터는 여기에 해당되지 않습니다. 따라서 컴퓨터에 설치되어 있는 OS 볼륨 이외의 다른 볼륨, 즉 데이터 볼륨의 암호화 기능을 요구하는 고객들이 많았습니다(BitLocker는 이동식 미디어를 암호화하도록 설계되지 않음).
그림 1에서 보듯이 이 컴퓨터에는 세 개의 사용 가능한 볼륨이 있습니다. 시스템 시작에 사용하는 작은 활성 파티션까지 하면 실제 볼륨은 네 개가 됩니다. 제 운영 체제는 C: 드라이브에 설치되어 있으며(아이콘에 Windows "플래그" 표시) 두 개의 데이터 볼륨 E: 및 P:가 있습니다. P: 볼륨은 BitLocker로 이미 암호화되어 현재 잠겨 있습니다. E: 볼륨은 아직 암호화되지 않았습니다. Windows Vista SP1 및 Windows Server 2008의 경우 BitLocker 제어판 애플릿에서 이런 데이터 볼륨을 암호화하고 잠금 해제할 수 있습니다.
그림 1** Bitlocker 인터페이스 **(더 크게 보려면 이미지를 클릭하십시오.)
운영 체제 볼륨을 BitLocker로 암호화한 경우 기본적으로 운영 체제 볼륨을 잠금 해제할 때마다 이 암호화된 볼륨이 잠금 해제됩니다. 제어판을 사용하여 데이터 볼륨을 잠금 해제하면 그림 2와 같이 이 옵션의 확인란이 표시됩니다.
그림 2** 자동 잠금 해제를 위한 키 저장 **(더 크게 보려면 이미지를 클릭하십시오.)
데이터 볼륨의 "자동 잠금 해제"를 설정하거나 해제하려면 manage-bde.wsf 명령줄 도구를 사용합니다. Windows에 포함되어 있는 Manage-bde.wsf는 BitLocker와 함께 설치된 기본 WMI(Windows Management Instrumentation) 공급자를 사용하는 강력한 스크립트입니다.
예를 들어 데이터 볼륨 P:를 수동으로 잠금 해제하도록 표시하려면 다음 명령을 사용합니다.
manage-bde.wsf –autounlock –disable P:
P:에 대한 자동 잠금 해제를 다시 설정하려면 다음 명령을 사용합니다.
manage-bde.wsf –autounlock –enable P:
BitLocker와 데이터 볼륨으로 할 수 있는 모든 작업이 BitLocker 제어판에 표시되지는 않기 때문에 -? 옵션으로 manage-bde.wsf 명령을 탐색해야 합니다. manage-bde.wsf 구문은 "Windows BitLocker Drive Encryption Design Guide" 및 "Windows BitLocker Deployment Guide"에도 수록되어 있습니다. 이 설명서는 Microsoft 다운로드 센터(go.microsoft.com/fwlink/?LinkId=115215)에서 구할 수 있습니다.
TPM+USB+PIN
고객이 BitLocker로 추가 인증 단계를 사용하고자 할 수도 있습니다. BitLocker는 사용자 컴퓨터의 TPM 칩을 사용하여 플랫폼의 무결성을 확인합니다. 즉, BIOS를 비롯한 초기 시작 구성 요소가 변조되거나 손상되지 않았는지 확인합니다. 그러나 Windows Vista 릴리스부터는 BitLocker를 활성화할 때 만들어진 키가 들어 있는 USB 플래시 드라이브나 PIN을 요청할 수도 있습니다.
Windows Server 2008 및 Windows Vista SP1에서는 세 기능을 모두 결합할 수 있습니다. 그러면 TPM은 플랫폼 무결성을 계속 확인하고 USB 키는 "현재 보유 중인 요소"를, PIN은 "알려진 요소"를 표시하게 됩니다. 이 구성을 사용하면 권한 없는 사용자가 컴퓨터를 시작하고 BitLocker로 보호된 드라이브를 잠금 해제하지 못하도록 매우 강력하게 보호할 수 있습니다.
그러나 보안이란 것이 대개 그렇듯이 이 기능에도 대가가 필요합니다. BitLocker를 이 방식으로 구성하면 컴퓨터 자동 시작이 불가능해집니다. 예를 들어 서버의 경우 자연스런 재시작과 높은 수준의 보호 중 어느 것이 더 중요한지를 결정해야 합니다.
UEFI 지원
Windows Server 2008 및 Windows Vista SP1에는 UEFI(Unified Extensible Firmware Interface)가 설치된 컴퓨터에 대한 지원이 추가되었습니다. UEFI는 대부분의 컴퓨터에서 시작할 때 사용하는 기존의 BIOS를 현대화한 사양입니다. UEFI 사양에 대한 자세한 내용은 www.uefi.org를 참조하십시오.
향상된 보호
시스템 변경이 감지되거나 시작할 때 필요한 PIN 또는 USB 키를 사용할 수 없는 경우 BitLocker는 복구 모드로 들어갑니다. 복구 모드에서 BitLocker 사용 볼륨은 잠긴 상태를 유지하며 "복구 콘솔"이라는 텍스트 모드의 대화 상자가 표시됩니다.
드라이브를 잠금 해제하려면 키보드 또는 USB 플래시 드라이브에서 복구 암호(48자리 숫자)를 입력해야 합니다. USB 플래시 드라이브에 저장된 암호는 텍스트가 아니라 이진 형식이므로 복구 키라고도 합니다.
BitLocker는 복구 암호를 사용하여 볼륨 메타데이터에 저장된 키인 VMK(볼륨 마스터 키)와 FVEK(전체 볼륨 암호화 키)를 차례로 해독하여 드라이브의 잠금을 해제합니다. 성공적으로 복구하려면 복구 암호의 복사본이 있어야 합니다.
따라서 개인 저장소(예: USB 플래시 드라이브) 외에 중앙 위치에도 복구 암호를 저장하는 것이 좋습니다. ADDS(Active Directory® 도메인 서비스)에 복구 암호를 저장하는 운영 체제 기능이 있습니다.
볼륨 메타데이터에 저장된 비밀(예: VMK)은 암호화되고 전체 볼륨 메타데이터의 무결성이 암호로 보호됩니다. 이 볼륨 메타데이터의 변조가 감지되면 BitLocker는 해당 메타데이터의 사용을 거부하고 보호된 볼륨의 잠금을 해제하지 않습니다. 복구 암호만으로는 이러한 상태의 드라이브 잠금을 해제할 수 없습니다.
이러한 상황은 컴퓨터에 대한 계획적인 보안 공격이 있을 때만 발생합니다. 그 경우 악의적인 공격자가 이미 컴퓨터를 장악하여 사용자의 통제 범위를 벗어났을 가능성이 높습니다. 계획에 없던 단순한 플랫폼 변경이 있거나 PIN을 잊어 버렸을 때 이러한 상황이 발생하는 것은 아닙니다.
볼륨을 잠금 해제하려면 다음 세 가지 항목이 필요합니다.
- 복구 암호(텍스트로 입력하거나 USB 플래시 드라이브에 저장)
- FVEK 및 VMK의 암호화된 버전을 포함하는 이진 키 패키지
- BitLocker 복구 도구
간단히 말해, 회사에서는 위 항목 모두에 항상 액세스할 수 있어야 합니다.
복구 암호를 수동 또는 자동으로 백업할 수 있습니다. 그룹 정책 설정을 사용하여 복구 암호를 Active Directory 도메인 서비스에 자동으로 백업하는 것이 좋습니다.
그림 3과 같이 이 설정을 구성할 때 이진 키 패키지의 백업 옵션을 선택하십시오. 이진 키 패키지에는 암호화된 버전의 VMK 및 FVEK가 들어 있으므로 필요한 경우 BitLocker 복구 도구를 사용할 수 있습니다.
그림 3** 복구 정보에 키 패키지를 포함하도록 그룹 정책 구성 **(더 크게 보려면 이미지를 클릭하십시오.)
BitLocker 복구 도구는 BitLocker를 사용하는 손상된 디스크에서 데이터를 복구할 수 있도록 설계되었습니다. 이것은 숙련된 관리자를 위한 고급 도구입니다. BitLocker 복구 도구에 대한 자세한 내용은 Microsoft 기술 자료 문서(support.microsoft.com/kb/928201) 또는 웹 캐스트 "Microsoft BitLocker in the Enterprise: BitLocker Tools to Make Your Life Easier"(라이브 데모 포함)(go.microsoft.com/fwlink/?LinkId=114985)를 참조하십시오.
BitLocker를 사용하더라도 데이터를 백업해야 합니다. 손상되거나 계획적인 공격을 당한 디스크에서 BitLocker 복구 도구를 사용하여 모든 데이터는 커녕 일부 데이터라도 복구할 수 있다는 보장은 없습니다.
TPM 사용 폭 확대
기술적으로는 BitLocker의 변화라고 할 수 없지만 설명할 가치가 있습니다. SP1 이전에는 Windows OS에서 TPM을 사용하는 것이 BitLocker뿐이었지만 지금은 일부 다른 기능도 TPM을 사용합니다. 예를 들어, TPM을 사용할 수 있는 경우 Windows는 난수를 생성할 때 TPM을 사용하여 엔트로피를 증가시킵니다. 그러면 모든 종류의 암호화 품질이 향상되며, 심지어 게임도 훨씬 자연스럽게 진행됩니다.
그러나 이벤트 뷰어에 표시되는 TPM 관련 이벤트가 모두 BitLocker와 관련된 것은 아닙니다. IT 전문가라면 다른 시스템 구성 요소나 다른 공급업체의 소프트웨어에서도 TPM을 사용할 수 있는지, 그리고 그로 인해 이벤트가 기록되는지 궁금할 것입니다.
Windows Server 2008의 BitLocker
Windows Vista와 Windows Server 2008은 코드베이스를 공유하므로 SP1에 나타나는 BitLocker의 변경 사항은 Windows Server 2008에서도 동일합니다. 그러나 BitLocker가 서버와 무슨 관련이 있을까요? BitLocker는 본질적으로 오프라인 공격으로부터 컴퓨터를 보호하는 도구입니다. 다시 말해, BitLocker는 실행 중인 시스템을 보호하지 않는데 서버는 일반적으로 항상 실행 중인 것으로 간주됩니다.
사실은 서버나 서버의 하드 디스크가 오프라인 공격에 노출될 수 있는 경우가 있습니다. 그런 경우가 아니더라도 BitLocker는 서버 또는 하드 디스크를 중단해야 할 때 큰 도움이 됩니다. 이에 대해서는 나중에 살펴보겠습니다. 먼저 BitLocker를 서버에 설치하여 실행하는 방법을 알아보겠습니다.
BitLocker 구하기 및 설치
BitLocker는 모든 Windows Server 2008 버전에 포함되어 있지만 선택적 구성 요소 또는 기능이므로 서버 관리자나 명령줄에서 설치해야 합니다. BitLocker는 부분적으로 NTFS 필터 드라이버로 구현됩니다. 이 필터 드라이버를 설치하려면 컴퓨터를 다시 시작해야 합니다. 즉, 서버에서 BitLocker를 활성화하려면 다시 부팅해야 합니다. Windows Vista와 마찬가지로 BitLocker에도 부하 분산 구성이 필요하므로 컴퓨터 시작에 사용하는 활성 파티션은 암호화되지 않은 상태로 유지됩니다. 제조업체에서 사전 구성되지 않은 서버의 경우, BitLocker 드라이브 준비 도구를 사용하여 BitLocker를 지원하도록 하드 디스크를 구성하면 편리합니다. 그러나 하드 드라이브 분할에 익숙한 사용자라면 하드 디스크를 수동으로 구성할 수도 있습니다.
BitLocker를 Windows Server 2008에 설치하려면 그림 4와 같이 서버 관리자 그래픽 인터페이스를 사용하여 기능 목록에서 BitLocker를 선택하거나 서버 관리자 명령줄 인터페이스에 다음 명령을 입력합니다.
그림 4** 서버 관리자에서 BitLocker 선택 **(더 크게 보려면 이미지를 클릭하십시오.)
ServerManagerCmd –install BitLocker –restart
서버 관리자를 사용하면 BitLocker와 BitLocker용 관리 도구가 설치됩니다. BitLocker를 설치하지 않고 관리 구성 요소를 설치할 수도 있습니다. 이 경우 필터 드라이버가 포함되지 않기 때문에 시스템을 다시 시작할 필요가 없습니다. 이 구성 요소의 이름은 "RSAT-BitLocker"입니다.
BitLocker는 Server Core 설치 옵션을 실행하는 컴퓨터에서 제대로 작동하지만, 서버 관리자를 사용하여 Server Core에 BitLocker를 설치하거나 그래픽 사용자 인터페이스를 사용하여 Server Core의 BitLocker를 관리할 수는 없습니다. 구성 요소를 설치하려면 명령줄 도구 pkgmgr 또는 ocsetup를 사용해야 합니다.
BitLocker 이진을 설치하고 부하 분산의 필수 구성으로 디스크를 구성한 경우 OS 볼륨에서 BitLocker를 사용할 수 있습니다. Windows Server 2008의 BitLocker 제어판 애플릿에는 Windows Vista SP1에서와 동일한 아이콘과 옵션이 있습니다. BitLocker를 고급 모드로 사용하려면 서버에 적용되는 그룹 정책 개체 또는 로컬 정책 편집기를 사용하여 기본 설정을 조정해야 합니다.
Server Core에서 또는 manage-bde.wsf(제어판을 사용하지 않을 경우)를 사용하여 BitLocker를 설정할 수 있습니다. C: 드라이브에서 BitLocker를 사용하려면 다음과 같이 입력합니다.
manage-bde.wsf –on C: -RecoveryPassword –RecoveryKey F:\
여기서 C:는 암호화할 볼륨이고, F:\는 복구 키 복사본을 이진 형식으로 저장할 USB 키 또는 다른 볼륨입니다. UNC 경로를 사용하여 네트워크 드라이브에 복구 키를 저장할 수도 있습니다. 숫자 텍스트 형식의 복구 암호도 생성되어 표시됩니다. 하드웨어 플랫폼이 BitLocker 요구 사항을 모두 충족하는 경우 –skiphardwaretest 매개 변수를 추가할 수 있습니다. 그러면 다시 부팅하는 횟수를 한 번 더 줄일 수 있습니다.
서버 시나리오
이제 서버에서 BitLocker가 진가를 발휘하는 몇 가지 구체적인 시나리오를 살펴보겠습니다. 설명한 것처럼 BitLocker는 Windows가 실행 중이 아닐 때 이루어지는 오프라인 공격으로부터 보호하도록 설계되었습니다.
지점 서버에서 BitLocker를 사용하는 가장 큰 이유 중 하나는 Windows Server 2008 지점 전략의 일환으로 사용하기 위해서입니다. 서버의 1/4 ~ 1/3은 지점에 설치됩니다. 즉, 서버 중 일부는 물리적 보안 수준이 낮고 IT 지원에 대한 액세스 권한이 부족하며 데이터 센터 연결 수준도 낮은 지점에 설치됩니다. 또한 지점은 매력적인 공격 대상이기도 합니다. BitLocker를 RODC(읽기 전용 도메인 컨트롤러) 등의 기능과 함께 사용하면 반드시 지점에 저장해서 사용해야 하는 중요 데이터를 보호할 수 있지만, 데이터 센터처럼 물리적 보안이 쉽지는 않습니다.
여기서 올바른 보안 수준에 대해 잠시 생각해 보겠습니다. 데이터에 대한 무단 액세스 차단과 사용자 개입 없는 즉각적인 서버 작동 재개 중 어느 것이 더 중요합니까? 대부분의 지점에서는 서버를 다시 시작할 때 PIN 입력을 요구하는 것으로 충분하다고 생각됩니다. 그러나 결정은 해당 회사에서 내려야 합니다.
디스크 배송 하드 드라이브의 데이터를 멀리 배송해야 하는 경우가 있습니다. 디스크 하나를 배송하거나, 전체 서버를 미리 구성한 후 배송할 수 있습니다. 배송 중에는 이러한 디스크의 데이터를 제어할 수 없으므로 데이터 복제, 손실 또는 도난의 위험이 있습니다.
이러한 위험을 줄이려면 배송하기 전에 컴퓨터의 볼륨에서 BitLocker를 사용하도록 설정한 다음 복구 키 또는 복구 암호를 제외한 모든 키 보호기를 제거합니다. 이 키 또는 암호는 서버와 별도로 직접 전달하거나 전화 또는 암호화된 전자 메일로 데이터를 받을 담당자에게 전달할 수 있습니다. 배송된 컴퓨터 또는 디스크를 받은 쪽에서는 복구 암호를 사용하여 드라이브의 잠금을 해제합니다. 원하는 경우 드라이브를 암호화된 상태로 두고 다른 키 보호기를 추가하거나, 배송 후 디스크를 완전히 해독할 수 있습니다.
이 방법은 지점의 도메인 컨트롤러나 서버를 준비할 때 특히 효율적입니다.
서버 도난 이전 단원에서 설명한 것처럼 서버, 특히 도메인 컨트롤러는 도난 당할 위험이 높습니다. 랩톱은 견물생심으로 훔치는 경우가 있지만 서버 절도범들은 세심하게 목표를 선별합니다. TPM 무결성 검사만 요구하도록 BitLocker를 구성한 경우 훔친 서버의 전원을 켜고 간단히 부팅할 수 있습니다. 반면에 서버의 드라이브가 BitLocker로 보호되어 있고 BitLocker는 고급 모드로 구성되어 USB 키나 PIN 또는 둘 다 필요한 경우에는 도둑이 적절한 시간 내에 유용한 정보를 얻기가 매우 어려워집니다.
디스크 도난 반대로 디스크만 도난 당한 경우에는 TPM으로 상당한 보호가 가능합니다. BitLocker로 보호된 드라이브는 원본 서버의 TPM이 있어야만 잠금 해제되므로 디스크를 다른 컴퓨터에 넣어도 읽을 수 없습니다.
노출 감소 TPM 칩이 포함된 서버 하드웨어를 주문하고 BitLocker 플랫폼 무결성 검사를 사용하여 일부 형태의 맬웨어에 대한 방어 수준을 높입니다. 특히 BitLocker는 Windows가 오프라인 상태일 때 변경된 사항이나 초기 시작 구성 요소에 대한 변경을 감지합니다. rootkit와 같은 맬웨어가 설치를 위해 재부팅을 요구할 때는 더욱 그러합니다. 완벽한 솔루션은 아니지만 Windows 코드 무결성 기능이나 Microsoft® ForefrontTM Client Security와 같은 제품과 함께 사용하면 효율적인 심층 방어 계층이 하나 더 형성됩니다.
안전한 폐기 BitLocker가 가장 빛을 발하는 상황 중 하나는 서버 또는 디스크의 수명 주기가 만료될 때입니다. 서버나 서버의 디스크를 제대로 파기하지 않고 폐기하는 상황에 대한 이야기를 들어본 적이 있습니까? 폐기된 하드 드라이브의 유용한 정보를 사용하려는 비양심적인 구매자들로 인해 경매 사이트에서 중고 하드 드라이브가 새 제품보다 비싸게 팔리는 것을 알고 있습니까?
BitLocker가 있으면 디스크에서 유용한 데이터를 정리하는 데 많은 비용과 시간을 들이는 대신 다른 방법을 사용할 수 있습니다. 기본적으로, 어떤 정보도 사용하기 편한 형식으로 디스크에 기록되지 않습니다. 암호화된 데이터는 사용할 수 없기 때문에 키 정보를 모두 제거하면 빠르고 간단하게 해결됩니다. 그런 뒤에는 디스크 하드웨어가 어떻게 되더라도 문제가 없습니다. 데이터가 악의적인 사용자의 손에 들어가는 것을 걱정할 필요 없이 디스크를 판매하거나, 재활용하거나, 용도 변경할 수 있습니다.
Windows Vista 및 Windows Server 2008에서는 반복 덮어쓰기할 때를 비롯하여 BitLocker 키를 삭제하도록 format 명령이 업데이트되었습니다. 이제 드라이브를 간단하고 효율적으로 폐기할 수 있습니다.
최신 뉴스
여러분이 이 게시물을 접하기 몇 주일 이전에 이미 수많은 최신 자료, 논문 및 뉴스 기사 등에서 하드웨어의 몇 가지 흥미로운 특징과 그러한 특징이 BitLocker, 다른 Windows 보안 기능 및 여러 공급업체의 각종 암호화 제품에 미치는 영향에 대해 다루었습니다. 그 중 일부를 잠시 살펴보겠습니다.
프린스턴 대학의 연구원들은 첨단 컴퓨터 메모리의 특성인 "DRAM 잔류 자기"(citp.princeton.edu/pub/coldboot.pdf)의 존재를 매우 효율적으로 증명하는 논문을 출판했습니다. 간단히 말해, 메모리 전원이 차단된 뒤에도 일정 시간 동안 컴퓨터 메모리의 내용에 액세스할 수 있습니다. 물론 Windows가 실행 중인 동안에는 BitLocker가 키를 사용하여 메모리의 데이터 해독을 차단하지만, 문제는 권한 없는 사용자가 이 키를 습득할 수 있다는 것입니다.
Adam Boileau의 다른 데모(security-assessment.com/files/presentations/ab_firewire_rux2k6-final.pdf)에서는 IEEE 1394(FireWire)를 사용하여 DMA(직접 메모리 액세스)를 허용하는 방법을 보여 줍니다. 이 방법으로 암호나 해독 키 등 Windows의 비밀 정보를 확보할 수 있습니다. 재미 있는 것은 DMA가 1394의 핵심이라는 점입니다. 이는 결함이 아니라 Firewire의 설계 의도에 부합하는 것입니다.
이러한 두 가지 공격의 공통점은 실행 중이거나 아주 최근에 실행된 컴퓨터에 물리적으로 액세스해야 한다는 것입니다. BitLocker는 온라인 공격을 차단하도록 설계되지 않았기 때문에 어느 정도의 물리적인 보안은 필요합니다. 적절한 심층 방어를 위해서는 많은 도구와 기능을 사용하고, 물리적 보안 환경을 구축하고, 기본적인 회사 정책을 수립하고, 사용자를 지속적으로 교육해야 합니다.
물론 이것이 새로운 발견은 아닙니다. 이러한 사실은 이미 알려져 있으며 Microsoft® DET(데이터 암호화 도구 키트)에 설명되어 있습니다. DET의 위험 분석 기능은 고객이 보안과 가용성, 구현 및 관리 비용을 적절하게 절충할 수 있도록 돕기 위한 것입니다. 간단한 일은 아니지만, 교육받은 고객이라면 보안, 가용성, 비용 사이에서 적절한 균형점을 찾아 결정을 내릴 것입니다.
DET 외에도 몇 가지 우수한 논평과 지침을 알려 주신 분들이 있습니다. Russ Humphries는 그의 블로그(go.microsoft.com/fwlink/?LinkId=115217)에서 DRAM 잔류 자기를 감안한 보안 절충안에 대해 설명했습니다. 또한 Douglas MacIver는 SI(System Integrity) 팀 블로그(go.microsoft.com/fwlink/?LinkId=115218)에서 구체적인 추가 구성 단계와 현재 선택할 수 있는 대처 방안에 대해 설명하고 있습니다. 이들 두 유용한 블로그를 읽어 보시기 바랍니다. 또한 DET도 읽어보시기 바랍니다.
이러한 권장 사항의 핵심은 컴퓨터를 절전 모드로 두고 자리를 떠나지 말고(대신 최대 절전 모드 사용) USB 키 또는 PIN을 요구하는 고급 모드를 사용하라는 것입니다.
결론
BitLocker는 Windows Vista의 가장 유용한 기능 중 하나입니다. SP1 릴리스에서는 사용할 수 있는 상황을 늘리고 더 많은 데이터 보호 요건을 충족하라는 고객의 의견을 그대로 반영하여 이 기능을 더욱 개선했습니다. 휴지 상태의 데이터 보호 기능을 Windows Server 2008에 도입한 결과, 서버나 클라이언트 워크스테이션, 데이터 센터, 지점, 모바일 작업자 등 데이터의 저장 위치를 불문하고 데이터 보호 및 규정 준수 방안이 확대되었습니다.
Byron Hynes는 Microsoft EPG(Enterprise and Partner Group)의 엔터프라이즈 기술 전략가로 보안 기능과 제품을 주로 다루고 있습니다. Byron Hynes는 Windows Server 부서에서 근무하다가 EPG에 합류했으며 2005년부터 BitLocker(System Integrity) 팀과 긴밀하게 협력해 왔습니다. 여러분의 의견과 질문을 기다리겠습니다. Tech•Ed 2008로 연락하거나 bhynes@microsoft.com으로 전자 메일을 보내주십시오.
© 2008 Microsoft Corporation 및 CMP Media, LLC. All rights reserved. 이 문서의 전부 또는 일부를 무단으로 복제하는 행위는 금지됩니다..