[태그:] 리눅스

PC 전원 버튼을 누른 직후, 화면이 켜지기까지의 1~2초. 그 사이에 UEFI 펌웨어가 조용히 부트로더의 디지털 서명을 검사한다. 이게 시큐어 부트(Secure Boot)다. 대부분은 이 과정이 있는지도 모르고 쓴다. 그런데 이 서명에 유효 기간이 있다는 건, 아는 사람이 별로 없다.

인증서가 만료되면 OS가 부팅을 거부한다. Windows든 리눅스든 가리지 않는다. 2010년대 초반에 발급된 RSA-2048 기반 시큐어 부트 인증서 상당수가 2026년을 전후로 만료 시점에 도달하고 있다. 이 글은 시큐어 부트의 구조와, 인증서 문제가 터졌을 때 직접 처리하는 방법을 정리한다.

시큐어 부트가 하는 일

2012년 UEFI 2.3.1 규격과 함께 도입된 부팅 보안 메커니즘이다. 원리는 단순하다. PC가 켜지는 순간, 부트로더·드라이버·OS 커널 등 실행되는 소프트웨어 전부의 디지털 서명을 검증한다. 서명이 없거나 만료됐으면 부팅 차단. 끝이다.

이 기능이 필요한 건 부트킷(Bootkit) 때문이다. 부트킷은 OS보다 먼저 실행되기 때문에 백신으로는 잡기가 거의 불가능하다. 시큐어 부트는 그 진입 자체를 막는다.

시큐어 부트에 쓰이는 키는 세 종류다:

• PK (Platform Key): ASUS, MSI 같은 하드웨어 제조사가 보유하는 최상위 키
• KEK (Key Exchange Key): 신뢰 키 목록을 업데이트할 때 쓰는 키
• DB (Signature Database): 실제로 부팅을 허용할 소프트웨어 서명 목록

Microsoft는 자사 부트로더 서명을 DB에 등록해 두고, 이 서명이 통과해야 Windows가 올라온다. 구조 자체는 깔끔하다. 문제는 인증서 갱신이다.

인증서가 왜 만료되나

SSL/TLS 인증서처럼, 시큐어 부트 인증서도 유효 기간이 있다. 암호화 알고리즘이 시간이 지나면서 취약해지기 때문이다. RSA-2048은 2010년대 초반 기준으로는 충분히 강력했지만, 10년 넘게 쓰다 보면 갱신이 필요하다. 그 갱신 시점이 2026년 전후로 몰려 있다.

더 골치 아픈 건, 이 인증서가 OS나 앱이 아닌 UEFI 펌웨어에 박혀 있다는 점이다. 자동 업데이트가 안 된다. 마더보드 제조사가 UEFI 펌웨어 업데이트를 통해 새 인증서를 배포하거나, Microsoft가 Windows Update로 DB를 갱신하는 방식으로 처리해야 한다. 어느 쪽도 알아서 되는 구조가 아니다.

갱신이 늦어지면:

• 기존에 서명된 부트로더가 “신뢰 불가”로 처리됨
• 부팅 화면에 보안 위반 경고 발생
• 최악의 경우 OS 진입 자체 불가

Windows에서 시큐어 부트 상태 확인

확인 방법은 두 가지다. 빠른 순서로 적는다.

방법 1: 시스템 정보 툴

• Win + R → msinfo32 실행
• 좌측 “시스템 요약” 클릭
• 우측에서 “보안 부팅 상태” 확인
• “사용” 또는 “켜짐”이면 정상

방법 2: PowerShell

• PowerShell 관리자 권한으로 실행
• Confirm-SecureBootUEFI 입력
• True = 활성화, False = 비활성화

시큐어 부트가 꺼져 있으면 Windows 11 보안 기능 일부가 제한된다. TPM 2.0과 함께 Windows 11 설치 필수 요건이기도 하다. 비활성화 상태라고 당장 뭔가 터지진 않지만, 보안 구멍은 열려 있다.

UEFI에서 직접 인증서 상태를 보고 싶다면 부팅 시 Delete 키 또는 F2 키(제조사마다 다름)로 진입 후, Security → Secure Boot → Key Management 경로를 찾으면 된다.

리눅스가 더 까다로운 이유

리눅스에서 시큐어 부트는 솔직히 한 단계 더 복잡하다. Microsoft가 관리하는 DB에 서명이 없는 커스텀 커널이나 드라이버는 기본 차단이다.

Ubuntu, Fedora, openSUSE 같은 주요 배포판은 Shim이라는 중간 부트로더로 이 문제를 우회한다. Shim은 Microsoft 서명을 받은 부트로더인데, 이 Shim이 배포판 자체 서명(MOK, Machine Owner Key)을 검증하고 그 아래에서 커널을 올리는 구조다. 레이어가 하나 더 끼어 있다.

문제가 터지는 상황은 주로 이렇다:

• Nvidia나 VirtualBox 같은 서드파티 커널 모듈 설치 시 MOK 등록을 빠뜨렸을 때
• 직접 컴파일한 커스텀 커널을 쓸 때
• Arch Linux처럼 시큐어 부트 설정을 직접 잡아야 하는 배포판에서 뭔가 건드렸을 때
• Shim이나 GRUB 서명이 만료됐을 때

MOK 등록은 mokutil --import로 처리하고, 재부팅 후 MOK 관리 화면에서 최종 확인해야 한다. 이 단계를 빠뜨리면 시큐어 부트 활성화 상태에서 해당 모듈이 아예 로드되지 않는다. Nvidia 드라이버 설치하고 화면이 검게 나오는 경우의 절반은 여기서 막힌다.

UEFI에서 직접 처리하는 조치 3가지

인증서 문제가 생겼을 때 UEFI 펌웨어 수준에서 할 수 있는 작업이다.

1. UEFI 펌웨어 업데이트
마더보드 제조사 공식 사이트에서 최신 UEFI 펌웨어를 받아 업데이트하면 새 인증서가 함께 포함되는 경우가 많다. ASUS, MSI, Gigabyte, ASRock 등 주요 제조사는 인증서 갱신 펌웨어를 순차 배포 중이다. 제조사 유틸리티 앱(Armory Crate, MSI Center 등)에서 바로 업데이트가 된다.

2. 시큐어 부트 키 초기화 (Reset to Setup Mode)
UEFI 설정에서 시큐어 부트를 “Setup Mode”로 전환하면 기존 키가 전부 삭제된다. 이 상태에서 새 키를 등록하거나, “Restore Factory Keys” 옵션으로 제조사 기본값을 복원한다. 주의: Setup Mode 상태에서는 시큐어 부트 검증이 꺼진다. 작업 후 반드시 다시 활성화해야 한다.

3. Windows Update로 DB 갱신
Microsoft는 Windows Update를 통해 시큐어 부트 DB를 업데이트한다. Windows 설정 → Windows Update → 고급 옵션 → 선택적 업데이트에서 드라이버 및 펌웨어 업데이트 항목을 확인해 보자. 이 경로가 의외로 놓치기 쉽다.

그냥 꺼버리면 어떻게 되나

“귀찮으니까 끄면 되지 않나.” 기능적으로는 가능하다. 다만 감수해야 하는 것들이 있다.

• 부트킷 감염 위험 증가: 부팅 과정 검증이 사라지므로 악성 부트로더가 설치돼도 탐지가 어렵다
• Windows 11 보안 기능 제한: Credential Guard, Virtualization-Based Security(VBS) 등이 제대로 동작하지 않는다
• 기업 환경에서 정책 위반: Intune 조건부 액세스에서 컴플라이언스 미충족으로 처리된다

개인 PC에서 단기적으로 뭔가 터질 가능성은 낮다. 그러나 공격 표면이 넓어지는 건 사실이다. 비활성화보다 근본 원인, 즉 인증서 갱신이나 펌웨어 업데이트를 해결하는 게 맞다.

결론 대신 — 할 것 4가지

시큐어 부트 인증서 문제는 앞으로도 주기적으로 반복된다. 복잡한 게 아니다. 4가지다.

• UEFI 펌웨어 최신 유지: 마더보드 제조사 사이트나 Armory Crate, MSI Center 같은 제조사 유틸리티에서 정기 확인
• Windows Update 미루지 않기: 선택적 업데이트 항목까지 챙기면 DB 갱신 대부분이 자동 처리된다
• 리눅스 배포판 최신 유지: sudo apt update && sudo apt upgrade 또는 sudo dnf upgrade로 shim과 grub을 최신 버전으로 유지
• UEFI 설정 주기 확인: 중고 마더보드를 샀다면 이전 소유자의 키 설정이 남아 있을 수 있다

시큐어 부트는 평소에 신경 쓸 일이 없는 기능이다. 그런데 인증서 만료처럼 예고 없이 터지는 문제는, 구조를 알고 있어야 당황하지 않는다. UEFI 설정에서 어디를 봐야 할지 알면 복구 시간이 확 줄어든다.

출처: Wired