Secure Boot
Secure Boot는 UEFI 펌웨어가 부팅 단계의 EFI 실행 파일과 부트 로더의 디지털 서명·신뢰 정책을 확인해 허가되지 않은 부팅 코드를 차단하도록 돕는 보안 기술이다. 운영체제 커널이 시작되기 전의 신뢰 체인을 구축하는 데 쓰이며 Windows 8 이후의 PC와 Windows...
| 분류 | UEFI 펌웨어 부팅 신뢰 검증 기능 |
|---|---|
| 표준 기반 | UEFI |
| 주요 기능 | 디지털 서명 기반 부트 로더·실행 파일 검증 |
| 키 | PK, KEK, db, dbx |
| 연동 | Trusted Boot, TPM 측정 부팅 등 |
| Windows | Windows 8 이후 부팅 보안·Windows 11 요구 |
| 다른 OS | Linux 부트 로더·서명 신뢰 체계 등 |
| 설정 | UEFI 펌웨어 설정·키 관리 |
| 공식 문서 | Microsoft Learn: Secure Boot and Trusted Boot |
| 표준 | UEFI Specifications |
Secure Boot는 UEFI 펌웨어가 부팅 단계의 EFI 실행 파일과 부트 로더의 디지털 서명·신뢰 정책을 확인해 허가되지 않은 부팅 코드를 차단하도록 돕는 보안 기술이다. 운영체제 커널이 시작되기 전의 신뢰 체인을 구축하는 데 쓰이며 Windows 8 이후의 PC와 Windows 11 부팅 보안에서 중요하다. Microsoft의 Trusted Boot는 Secure Boot 이후 Windows 커널·드라이버에 적용하는 신뢰 검사로, 둘은 연계되지만 같은 기능이 아니다.[1]
Secure Boot의 정책에는 플랫폼 키(PK), 키 교환 키(KEK), 허용 서명·해시 데이터베이스(db)와 차단 목록(dbx)이 사용된다. 펌웨어는 허용된 서명으로 검증되지 않거나 명시적으로 차단된 실행 파일의 부팅을 거절할 수 있다. 사용자·OEM이 키를 구성하는 방식과 펌웨어의 사용자 설정·복구 도구는 장치별로 다르다.
Secure Boot는 부트킷·무단 변경된 부트 로더 등 초기 부팅 공격의 일부 위험을 줄이는 데 목적이 있다. 그러나 악성코드의 모든 실행이나 이미 부팅된 운영체제의 취약점을 차단하지는 못하고 키 관리·펌웨어 업데이트가 미흡하면 보안 문제가 발생할 수 있다. Trusted Platform Module(TPM)은 별도 암호·측정 기능을 제공하며 Secure Boot와 필수로 동일한 하드웨어 구성 요소는 아니다.
Windows 11의 공식 요구 사항에는 Secure Boot를 지원하는 UEFI 시스템이 포함되며, 실제 보안 상태는 설정 및 기업 정책에 따라 검토해야 한다. Linux 등의 OS 역시 서명된 부트 로더를 통해 Secure Boot를 이용할 수 있다. 신뢰·검증 정책을 변경할 때에는 장치 부팅 가능성과 BitLocker 복구 키의 요구에 유의해야 한다.[2]