내보내기(0) 인쇄
모두 확장

BitLocker 드라이브 암호화

업데이트 날짜: 2010년 8월

적용 대상: Windows Server 2008

Windows BitLocker(TM) 드라이브 암호화(BitLocker)는 컴퓨터의 운영 체제에 대한 보호와 운영 체제 볼륨에 저장된 데이터를 제공할 수 있는 Windows Vista® 및 Windows Server® 2008 운영 체제의 보안 기능입니다. Windows Server 2008에서는 BitLocker 보호를 데이터 저장소에 사용되는 볼륨에까지 확장할 수 있습니다.

Windows BitLocker 드라이브 암호화의 기능

BitLocker는 다음 두 가지 기능을 수행합니다.

  • BitLocker는 Windows 운영 체제 볼륨(및 구성된 데이터 볼륨)에 저장된 모든 데이터를 암호화합니다. 여기에는 Windows 운영 체제, 최대 절전 모드 및 페이징 파일, 응용 프로그램 및 응용 프로그램에 사용되는 데이터가 포함됩니다.

  • BitLocker는 기본적으로 초기 시작 구성 요소(시작 프로세스의 이전 단계에서 사용된 구성 요소)의 무결성을 보장하기 위해 TPM(신뢰할 수 있는 플랫폼 모듈)을 사용하도록 구성되며, 운영 체제가 실행되지 않을 때 컴퓨터가 훼손되는 경우에도 보호되도록 BitLocker로 보호된 볼륨을 "잠급니다".

Windows Server 2008에서 BitLocker는 설치해야 사용할 수 있는 선택적 구성 요소입니다. BitLocker를 설치하려면 서버 관리자에서 선택하거나 명령 프롬프트에서 다음을 입력합니다.

ServerManagerCmd -install BitLocker -restart

이 기능의 대상 사용자

BitLocker에 관심을 가질 수 있는 그룹은 다음과 같습니다.

  • 기밀 데이터가 무단으로 공개되지 않도록 할 책임이 있는 관리자, IT 보안 전문가 및 준수 담당자

  • 원격 사무실이나 지사의 컴퓨터 보안을 담당하는 관리자

  • 모바일 Windows Vista 클라이언트 컴퓨터 또는 서버를 담당하는 관리자

  • 기밀 데이터가 저장된 서버의 서비스 해제를 담당하는 관리자

특별 고려 사항

전체 기능을 사용하려면 BitLocker에 호환되는 TPM 마이크로칩과 BIOS가 있는 시스템이 필요합니다. 호환되는 TPM은 버전 1.2 TPM으로 정의됩니다. 호환 가능한 BIOS는 TCG(신뢰할 수 있는 컴퓨팅 그룹)에서 정의한 대로 신뢰도 측정의 정적 루트 및 TPM을 지원해야 합니다. TPM 사양에 대한 자세한 내용은 TCG(신뢰할 수 있는 컴퓨팅 그룹) 웹 사이트(http://go.microsoft.com/fwlink/?LinkId=72757)(페이지는 영문일 수 있음)의 TPM 사양 절을 참조하십시오.

BitLocker를 사용하려면 활성 파티션(시스템 파티션이라고도 함)이 암호화되지 않은 파티션이어야 합니다. Windows 운영 체제는 BitLocker로 암호화된 두 번째 파티션에 설치됩니다.

데이터 암호화를 처리할 때마다, 특히 엔터프라이즈 환경에서는 하드웨어 오류, 담당자 변경 또는 암호화 키가 손실되는 다른 상황에서 데이터를 복구할 수 있는 방법을 고려해야 합니다. BitLocker는 이 문서의 뒷부분에서 설명하는 강력한 복구 시나리오를 지원합니다.

새로운 기능

BitLocker의 주요 기능에는 전체 볼륨 암호화, 초기 시작 구성 요소의 무결성 확인, 강력한 복구 메커니즘 및 보안 서비스 해제 프로세스 지원이 포함됩니다.

전체 볼륨 암호화

BitLocker로 보호된 볼륨에 기록되는 모든 내용은 암호화됩니다. 여기에는 운영 체제 자체와 모든 응용 프로그램 및 데이터가 포함됩니다.

이 기능이 중요한 이유

무단 액세스로부터 데이터를 보호합니다. 서버의 물리적 보안도 중요하지만 BitLocker는 컴퓨터가 도난당하거나, 한 위치에서 다른 위치로 운송되거나, 달리 물리적 제어를 벗어날 때마다 데이터를 보호할 수 있습니다.

디스크를 암호화하면 NTFS ACL(액세스 제어 목록)로 적용된 권한과 같은 Windows 보안 조항을 무시하기 위해 디스크 드라이브를 한 컴퓨터에서 제거하여 다른 컴퓨터에 설치하는 것과 같은 오프라인 공격을 방지할 수 있습니다.

차이점

BitLocker는 초기 시작 구성 요소(MBR(마스터 부트 레코드), 부트 섹터, 부트 관리자, Windows 로더)에서 코드로, 그리고 운영 체제의 핵심 부분인 필터 드라이버로 구현됩니다.

BitLocker를 처음 사용하도록 설정할 때 볼륨의 기존 데이터를 암호화해야 합니다. 이 프로세스 중에도 컴퓨터를 계속 사용할 수 있지만, 초기 암호화 중에 성능이 저하될 수도 있습니다.

초기 암호화가 완료된 후 암호화된 볼륨을 사용하면 디스크 액세스 시 성능이 약간 저하됩니다. 특정 하드웨어와 사용 패턴에 따라 크게 달라지긴 하지만 약 3-5%가 적합합니다. 클라이언트 시스템에서 이러한 성능 저하는 대체로 사용자가 알아차릴 수 있는 수준은 아닙니다. 로드량이 많은 서버에서는 디스크 하위 시스템의 성능을 평가해야 합니다.

BitLocker 사용 디스크의 사용은 운영 체제와 모든 응용 프로그램에 투명합니다.

BitLocker 암호화 알고리즘에 대한 자세한 내용은 AES-CBC + Elephant 디퓨저(http://go.microsoft.com/fwlink/?LinkId=82824)(페이지는 영문일 수 있음)를 참조하십시오.

이 변경의 준비 방법

계획에 대한 자세한 내용은 이 기능의 배포 준비 방법을 참조하십시오.

무결성 검사

TPM과 더불어 BitLocker는 초기 시작 구성 요소의 무결성을 확인합니다. 이 작업은 악성 코드를 구성 요소에 삽입하려는 시도와 같은 추가 오프라인 공격을 방지합니다.

이 기능이 중요한 이유

시작 프로세스의 초기 부분에 있는 구성 요소는 컴퓨터가 시작될 수 있도록 암호화되지 않은 상태로 사용할 수 있어야 하므로 디스크의 데이터가 암호화된 경우에도 공격자가 초기 시작 구성 요소의 코드를 변경한 다음 컴퓨터에 액세스할 수 있습니다. 공격자가 BitLocker 키나 사용자 암호와 같은 기밀 정보에 액세스하는 경우 BitLocker 및 기타 Windows 보안 보호가 손상될 수 있습니다.

차이점

TPM이 장착된 컴퓨터에서 초기 시작 구성 요소(예: BIOS, MBR, 부트 섹터 및 부트 관리자 코드)는 각각 실행될 코드를 검사하고 해시 값을 계산하여 TPM에 저장합니다. 값이 TPM에 저장되고 나면 시스템을 다시 시작할 때까지 값을 바꿀 수 없습니다. 이러한 값의 조합이 기록됩니다.

TPM을 사용하여 기록된 값에 연결된 키를 만들면 이러한 값을 사용하여 데이터를 보호할 수도 있습니다. 이 유형의 키를 만들면 TPM에서 키를 암호화하며, 특정 TPM만 키의 암호를 해독할 수 있습니다. 컴퓨터가 시작될 때마다 TPM은 현재 시작 중에 생성된 값을 키가 만들어질 때의 값과 비교합니다. TPM은 두 값이 일치하는 경우에만 키의 암호를 해독합니다. 이 프로세스를 키 "봉인"과 "봉인 제거"라고 합니다.

기본적으로 BitLocker는 CRTM(Core Root of Trust of Measurement), BIOS 및 플랫폼 확장, 옵션 ROM(읽기 전용 메모리) 코드, MBR 코드, NTFS 부트 섹터 및 부트 관리자에 대한 키를 검사하고 봉인합니다. 따라서 이러한 항목이 예기치 않게 변경되면 BitLocker에서 드라이브를 잠가 액세스나 암호 해독을 방지합니다.

기본적으로 BitLocker는 TPM을 찾아서 사용하도록 구성됩니다. 그룹 정책을 사용하여 BitLocker가 TPM 없이 작동할 수 있게 하고 외부 USB 플래시 드라이브에 키를 저장할 수 있지만, 그런 후에는 BitLocker에서 초기 시작 구성 요소를 확인할 수 없습니다.

이 문제의 해결 방법

하드웨어 구입 결정의 일부로 TPM의 가용성을 고려해야 합니다. TPM이 없을 경우 서버의 물리적 보안이 더 중요해집니다.

측정된 초기 시작 구성 요소를 변경할 계획된 유지 보수 중에 BitLocker를 사용하지 않도록 설정해야 합니다. 유지 보수가 완료된 후 BitLocker를 사용하도록 설정할 수 있으며, 새 플랫폼 측정이 키에 사용됩니다. 사용하지 않도록 설정한 후 다시 사용하도록 설정하는 경우에는 디스크 암호를 해독하고 다시 암호화할 필요가 없습니다.

이 변경의 준비 방법

계획에 대한 자세한 내용은 이 기능의 배포 준비 방법을 참조하십시오.

복구 옵션

BitLocker는 합법적 사용자가 데이터를 사용할 수 있도록 일련의 강력한 복구 옵션을 지원합니다.

이 기능이 중요한 이유

자주 사용하는 암호 해독 키를 사용할 수 없는 경우에도 조직의 데이터 암호를 해독할 수 있어야 합니다. 복구 기능은 "백도어" 없이 BitLocker에 디자인되지만 엔터프라이즈에서 쉽게 데이터 보안과 가용성을 모두 보장할 수 있습니다.

차이점

BitLocker를 사용하도록 설정하면 잠긴 BitLocker 볼륨의 잠금을 해제하는 데 사용할 수 있는 "복구 암호"를 저장하라는 메시지가 사용자에게 표시됩니다. BitLocker 설치 마법사를 사용하려면 복구 암호 복사본을 하나 이상 저장해야 합니다.

그러나 복구 암호 유지 및 보호와 관련해서 사용자에게 의존할 수 없는 환경이 많으므로 복구 정보를 Active Directory 또는 AD DS(Active Directory 도메인 서비스)에 저장하도록 구성할 수 있습니다.

엔터프라이즈 환경에서는 복구 암호를 Active Directory에 저장하는 것이 좋습니다.

이 문제의 해결 방법

그룹 정책 설정을 사용하여 여러 유형의 복구 암호 저장소를 요구하거나 방지하도록, 또는 이러한 저장소가 옵션이 되도록 BitLocker를 구성할 수 있습니다.

그룹 정책 설정을 사용하여 키를 Active Directory에 백업할 수 없는 경우 BitLocker를 사용할 수 없도록 할 수도 있습니다.

복구 옵션을 지원하도록 Active Directory를 구성하는 방법에 대한 자세한 내용은 Windows BitLocker 드라이브 암호화 및 TPM(신뢰할 수 있는 플랫폼 모듈) 복구 정보를 백업하도록 Active Directory 구성(http://go.microsoft.com/fwlink/?LinkId=82827)(페이지는 영문일 수 있음)을 참조하십시오.

이 변경의 준비 방법

계획에 대한 자세한 내용은 이 기능의 배포 준비 방법을 참조하십시오.

원격 관리

WMI(Windows Management Instrumentation) 또는 명령줄 인터페이스를 사용하여 BitLocker를 원격으로 관리할 수 있습니다.

이 기능이 중요한 이유

많은 컴퓨터가 있거나 원격 사무실 또는 지사에 컴퓨터가 있는 환경에서는 개별적으로 기능과 설정을 관리하는 것이 어렵거나 불가능합니다.

차이점

BitLocker 기능은 WMI 하위 시스템을 통해 노출됩니다. WMI는 WBEM(Web-Based Enterprise Management) 구조와 기능의 구현입니다. 따라서 관리자는 WMI 규격 WBEM 소프트웨어를 사용하여 로컬 컴퓨터나 원격 컴퓨터의 BitLocker를 관리할 수 있습니다.

BitLocker 및 WMI에 대한 자세한 내용은 BitLocker 드라이브 암호화 공급자(http://go.microsoft.com/fwlink/?LinkId=82828)(페이지는 영문일 수 있음)를 참조하십시오.

Windows에는 manage-bde.wsf라는 스크립트로 구현된 BitLocker에 대한 명령줄 인터페이스도 포함되어 있습니다. manage-bde.wsf를 사용하여 로컬 컴퓨터나 원격 컴퓨터에 있는 BitLocker의 모든 측면을 제어할 수 있습니다. manage-bde 명령과 구문의 전체 목록을 보려면 명령 프롬프트에서 다음을 입력합니다.

manage-bde.wsf /?

BitLocker의 원격 관리는 Windows Server 2008에 설치할 수 있는 선택적 구성 요소로, 사용하는 서버에서 BitLocker를 사용하도록 설정하지 않고도 다른 컴퓨터를 관리할 수 있게 합니다.

이 문제의 해결 방법

BitLocker 원격 관리의 선택적 구성 요소를 BitLocker-RemoteAdminTool이라고 합니다. 이 선택적 구성 요소 패키지에는 manage-bde.wsf 및 연관된 .ini 파일이 포함되어 있습니다. 원격 관리 구성 요소만 설치하려면 명령 프롬프트에서 다음을 입력해야 합니다.

ServerManagerCmd -install RSAT-BitLocker

이 변경의 준비 방법

계획에 대한 자세한 내용은 이 기능의 배포 준비 방법을 참조하십시오.

보안 서비스 해제

BitLocker는 서비스가 해제되었거나 다시 할당된 장비에서 기밀 데이터를 찾을 수 없도록 하는 비용 효과적이고 빠른 방법을 제공할 수 있습니다.

이 기능이 중요한 이유

특정 시점에서 모든 컴퓨터를 서비스에서 제거해야 하며, 많은 컴퓨터는 수명 중에 다른 용도에 다시 할당됩니다. 엔터프라이즈에 장비를 재생하거나, 기부 또는 판매하거나, 임대 만료 시 반환하는 계획이 있을 수도 있지만, 이외에도 모든 엔터프라이즈는 서비스 해제되었거나 다시 할당된 장비에서 기밀 데이터를 검색할 수 없도록 해야 합니다. 디스크 드라이브에서 기밀 데이터를 제거하는 대부분의 프로세스는 시간 또는 비용이 많이 소요되거나 하드웨어가 영구 삭제되게 합니다. BitLocker는 다른 비용 효과적인 옵션을 제공합니다.

차이점

BitLocker는 공격자, 절도범 또는 새 하드웨어 소유자에게 유용한 방식으로 데이터가 디스크에 저장되지 않게 합니다. 디스크에 기록된 모든 내용이 암호화되어 있으므로 암호화 키의 모든 복사본을 삭제하면 데이터를 영구적으로 완전히 액세스할 수 없게 만들 수 있습니다. 디스크 자체는 손상되지 않으며 다른 용도로 다시 사용할 수 있습니다.

BitLocker로 보호된 볼륨을 서비스 해제하는 많은 방법 중에서 선택할 수 있습니다.

  • 키의 모든 복사본을 안전한 중앙 사이트에 보관하고 볼륨 메타데이터에서 삭제하도록 선택할 수 있습니다. 이렇게 하면 시스템을 안전하게 전송할 수 있거나, 오랫동안 방치될 경우 일시적으로 서비스 해제할 수 있습니다. 권한 있는 사용자는 계속 데이터에 액세스할 수 있지만 장비의 새 소유자와 같은 무단 사용자는 액세스할 수 없습니다.

  • 저장되지 않은 새 키를 만들어 키의 모든 복사본을 볼륨 메타데이터 및 Active Directory와 같은 모든 보관에서 삭제하도록 선택할 수 있습니다. 이 경우 암호 해독 키가 없으므로 아무도 데이터를 복구하거나 검색할 수 없습니다.

두 경우 모두, 볼륨 메타데이터에 포함된 키 제거와 삭제는 거의 즉시 수행되며, 관리자가 여러 시스템에서 수행할 수 있습니다. 필요한 시간과 노력은 최소한으로 제한되지만 매우 높은 수준의 영구 보호를 얻을 수 있습니다.

Format 명령이 볼륨 메타데이터를 삭제하고 보안 커뮤니티에서 허용되는 방법으로 BitLocker 키를 얻는 데 사용될 수 있는 섹터를 삭제하고 덮어쓰도록 Windows Server 2008의 포맷 도구가 업데이트되었습니다.

이 문제의 해결 방법

BitLocker 배포 방법을 평가하는 경우 서버가 작업 주기의 끝에 도달할 때 사용할 서비스 해제 프로세스를 고려해야 합니다. 삭제할 복구 키와 보관할 복구 키(있는 경우)를 미리 결정합니다.

이 변경의 준비 방법

계획에 대한 자세한 내용은 이 기능의 배포 준비 방법을 참조하십시오.

추가 또는 변경된 설정

BitLocker 및 TPM 관리를 지원하기 위해 두 개의 새 그룹 정책 설정 집합이 도입되었습니다. 모든 정책 설정은 로컬 그룹 정책 편집기와 GPMC(그룹 정책 관리 콘솔)에서 설명합니다. 자세한 설명을 보려면 관리자 권한 명령 프롬프트나 검색 시작 텍스트 상자에 gpedit.msc를 입력하여 로컬 그룹 정책 편집기를 열고 다음 표의 각 설정에 대해 제공된 설명을 검사합니다.

BitLocker에 영향을 주는 그룹 정책 설정은 컴퓨터 구성/관리 템플릿/Windows 구성 요소/BitLocker 드라이브 암호화에 있습니다. 다음 표에서는 이러한 설정을 요약합니다.

 

설정 이름 기본값 설명

Active Directory 도메인 서비스에 BitLocker 백업 사용

사용 안 함

이 정책 설정은 BitLocker 복구 정보가 AD DS에 백업되는지 여부를 제어합니다. 사용하도록 설정하면 백업이 필수 또는 옵션인지와 복구 암호만 저장할지 또는 전체 복구 패키지를 저장할지도 제어할 수 있습니다.

제어판 설정: 복구 폴더 구성

없음(사용자 선택)

이 정책 설정은 사용자에게 표시되는, 복구 키를 저장할 기본 위치를 지정합니다. 로컬 또는 네트워크 위치일 수 있으며, 사용자가 원하는 대로 다른 위치를 선택할 수 있습니다.

제어판 설정: 복구 옵션 구성

없음(사용자 선택)

이 정책 설정을 사용하면 BitLocker 드라이브 암호화 설치 마법사에서 BitLocker 복구 옵션을 저장하라는 메시지를 사용자에게 표시할지 여부를 구성할 수 있습니다.

두 가지 복구 옵션은 BitLocker로 암호화된 데이터에 대한 액세스 잠금을 해제할 수 있습니다. 사용자는 임의의 48자리 숫자 복구 암호를 입력할 수 있으며, 임의의 256비트 복구 키를 포함하는 USB 플래시 드라이브를 삽입할 수도 있습니다.

각 옵션은 필수이거나 허용되지 않을 수 있습니다. 두 옵션을 모두 허용하지 않는 경우 AD DS에 백업을 사용해야 합니다.

제어판 설정: 고급 시작 옵션 사용

사용 안 함

이 정책 설정을 사용하면 TPM이 없는 컴퓨터에서 BitLocker를 사용하도록 설정할 수 있는지 여부와 TPM이 있는 컴퓨터에서 다중 인증을 사용할 수 있는지 여부를 구성할 수 있습니다.

암호화 방법 구성

AES 128비트/디퓨저

이 정책 설정은 AES 암호화 키의 길이와 디퓨저 사용 여부를 구성합니다.

다시 시작할 때 메모리 덮어쓰기 방지

사용 안 함(메모리를 덮어씀)

BitLocker 키는 컴퓨터 전원을 끄지 않는 경우 다시 시작 간에 메모리에 유지될 수 있습니다. 따라서 BitLocker는 "웜" 다시 시작 시 모든 메모리를 지우도록 BIOS에 지정합니다. 이로 인해 메모리 양이 큰 경우 시스템이 훨씬 지연될 수 있습니다. 이 설정을 사용하도록 설정하면 다시 시작 성능이 향상되지만 보안 위험도 증가합니다.

TPM 플랫폼 유효성 검사 프로필 구성

PCR 0, 2, 4, 8, 9, 11

PCR(플랫폼 제어 레지스터)에 저장된 TPM 플랫폼 측정 중 BitLocker 키를 봉인하는 데 사용되는 TPM 플랫폼 측정을 구성합니다.

TPM 동작을 제어하는 그룹 정책 설정은 컴퓨터 구성/관리 템플릿/시스템/TPM(신뢰할 수 있는 플랫폼 모듈) 서비스에 있습니다. 다음 표에서는 이러한 설정을 요약합니다.

 

설정 이름 기본값 설명

Active Directory 도메인 서비스에 TPM 백업 사용

사용 안 함

이 정책 설정은 TPM 소유자 암호 정보가 AD DS에 백업되는지 여부를 제어합니다. 사용하도록 설정하면 백업이 필수인지 또는 옵션인지도 제어할 수 있습니다.

차단된 TPM 명령 목록 구성

없음

이 정책을 사용하면 특정 TPM 기능을 사용하거나 사용하지 않도록 설정할 수 있지만 다음 두 설정으로 사용 가능한 명령을 제한할 수 있습니다. 그룹 정책 기반 목록이 로컬 목록을 재정의합니다. 로컬 목록은 TPM 관리 콘솔에서 구성할 수 있습니다.

차단된 TPM 명령의 기본 목록 무시

사용 안 함

기본적으로 특정 TPM 명령은 차단됩니다. 이러한 명령을 사용하려면 이 정책 설정을 사용하도록 설정해야 합니다.

차단된 TPM 명령의 로컬 목록 무시

사용 안 함

기본적으로 로컬 관리자는 TPM 관리 콘솔에서 명령을 차단할 수 있습니다. 이 설정을 사용하여 해당 동작을 방지할 수 있습니다.

TPM 작업 및 TPM 관리 콘솔 사용에 대한 자세한 내용은 Windows TPM(신뢰할 수 있는 플랫폼 모듈) 관리 단계별 가이드(http://go.microsoft.com/fwlink/?LinkId=82830)(페이지는 영문일 수 있음)를 참조하십시오.

기존 코드 변경 여부

BitLocker에 대해 기존 코드를 변경할 필요는 없습니다.

이 기능의 배포 준비 방법

BitLocker를 사용하도록 설정하기 전에 다음을 고려해야 합니다.

  • 하드웨어 요구 사항. 기존 하드웨어가 암호화를 처리할 만큼 강력하지 않으면 업그레이드하는 것이 좋습니다. 시스템 무결성 기능을 사용하려면 하드웨어 플랫폼에 버전 1.2 TPM이 있어야 합니다.

  • 회사 정책. 데이터 보존, 암호화 및 준수와 관련해서 현재 정책을 평가합니다. 데이터 복구 계획이 있어야 합니다.

  • 복구 정보 저장 방법. 엔터프라이즈 환경에서는 복구 정보 백업에 Active Directory 도메인 서비스를 사용하는 것이 좋습니다.

Windows Server 2008의 모든 버전에서 이 기능의 사용 가능 여부

BitLocker는 Windows Server 2008의 모든 버전에서 선택적 구성 요소이며, 버전 간에 기능상의 차이가 없습니다. BitLocker는 32비트 및 64비트 플랫폼에서 사용할 수 있습니다.

BitLocker는 Windows Vista Enterprise 및 Windows Vista Ultimate에서 사용할 수 있으며 클라이언트 컴퓨터, 특히 모바일 컴퓨터에 저장된 데이터를 보호하는 데 유용합니다.

추가 참조

이 정보가 도움이 되었습니까?
(1500자 남음)
의견을 주셔서 감사합니다.

커뮤니티 추가 항목

추가
표시:
© 2015 Microsoft