마이크로소프트, 2011년 발급 마지막 Secure Boot 인증서 10월 19일 만료
마이크로소프트는 Windows 부트로더 서명에 사용되는 인증서인 Microsoft Windows Production PCA 2011이 2026년 10월 19일에 만료되었다고 다시 안내했다. 이는 회사가 추진 중인 Secure Boot 신규 인증서 전환 계획의 마지막 주요 기한이다. 2011년에 발급된 다른 인증서 두 개는 이미 6월에 만료되었다.
컴퓨터는 계속 부팅되며 평소와 같이 작동하고, 정기적인 Windows 업데이트도 그대로 설치된다. 다만 2023년 인증서가 없는 장치는 부팅 초기 단계에 대한 새로운 보호 기능을 받을 수 없게 된다. 여기에는 부트 관리자, Secure Boot 데이터베이스, 해지 목록에 대한 업데이트와 부팅 체인에서 발견되는 새로운 취약점의 수정 사항이 포함된다. 이러한 해지 목록이 막아 주는 위협의 예로는 2023년에 발견된 부트킷 BlackLotus가 있다. 이 부트킷은 모든 업데이트가 적용된 Windows 11 시스템에서도 Secure Boot를 우회했다.
Secure Boot는 UEFI 펌웨어 기능으로, 컴퓨터가 시작되기 전에 드라이버부터 운영체제에 이르는 부팅 구성 요소의 디지털 서명을 검증한다. 지금까지 장치는 2011년에 발급된 마이크로소프트 인증서를 신뢰했으나, 회사는 이를 2023년 인증서로 교체하고 있다. KEK CA 2011(6월 24일 만료)은 KEK 2K CA 2023으로, UEFI CA 2011(6월 27일 만료)은 UEFI CA 2023과 Option ROM UEFI CA 2023으로, Windows Production PCA 2011(10월 19일 만료)은 Windows UEFI CA 2023으로 대체된다.
새 인증서는 Windows 업데이트를 통해 배포되며, 많은 경우 사용자가 별도로 조치할 필요가 없다. 지원되는 Windows 버전을 사용해야 하고, 업데이트가 일시 중지되어 있지 않아야 하며, Secure Boot가 켜져 있어야 한다. 기능 상태는 시스템 정보(msinfo32) 프로그램에서 확인할 수 있다. 4월부터 Windows 11은 Windows 보안의 장치 보안 페이지에 있는 보안 부팅 항목에서도 인증서 상태를 표시한다. 표시될 수 있는 메시지는 다음과 같다. 필요한 업데이트가 모두 적용됨, 오래된 부팅 신뢰 구성(시스템이 자동으로 업데이트), 알려진 문제의 영향을 받음(수정될 때까지 업데이트 일시 중지), 하드웨어 또는 펌웨어 제한(제조사의 지원 필요), 필요한 업데이트를 더 이상 받을 수 없음(만료된 인증서를 계속 사용 중). Windows 10 컴퓨터는 확장 보안 업데이트 프로그램인 ESU에 참여한 경우에만 인증서를 받는다.
노란색 또는 빨간색 경고가 표시되면 장치 제조사의 지원 페이지를 확인하는 것이 좋다. Dell, HP, Lenovo, Asus, Acer에는 BIOS 업데이트에 관한 별도 안내가 마련되어 있다. 설치 전에 BitLocker 복구 키를 백업해 두어야 한다. HP가 4월에 배포한 일부 BIOS 업데이트에서 복구 화면이 반복되는 문제가 발생했기 때문이다. 문제를 피하려고 Secure Boot를 끄는 것은 권장되지 않는다. 나중에 기능을 다시 켰을 때 펌웨어가 2011년 인증서만 신뢰한다면 컴퓨터가 부팅되지 않을 수 있다. BIOS를 공장 초기 설정으로 되돌릴 때도 해당 설정에 2023년 인증서가 없으면 비슷한 위험이 있다. 또한 Dell은 지원 기간이 2026년 1월 1일 이전에 종료된 플랫폼에는 BIOS 업데이트를 제공하지 않는다. 3월에는 일부 ASUS, MSI, ASRock 메인보드에서도 전환 과정의 문제가 발생했다.
업데이트는 단계적으로 배포되고 있다. 9월 8일에 나온 KB5124008은 업데이트가 성공할 가능성이 높은 장치를 식별하기 위한 데이터를 추가하여 적용 범위를 넓혔다. 컴퓨터는 하드웨어와 펌웨어에 따라 그룹으로 나뉘며, 유사한 장치에서 설치가 성공한 뒤에야 해당 그룹에 인증서가 자동으로 제공된다. 마이크로소프트는 이 데이터베이스를 한 달에 두 번 갱신한다. 몇 달 동안 인터넷에 연결되지 않았던 컴퓨터도 연결이 복구되면 인증서를 받게 된다.
PCA 2011은 부팅과 무관한 Windows 파일의 서명에도 사용되었기 때문에, 회사는 Windows Production PCA 2026으로 전환하고 있다. 9월 10일에 공개된 Release Preview 채널의 빌드 26100.9539와 26200.9539는 이미 이 인증서로 서명되었다. 개발자에게는 애플리케이션의 검증 로직을 특정 Secure Boot 인증서에 묶어 두지 않도록 권장한다. 업데이트를 하나 설치했다고 해서 전환이 끝난 것은 아니며, 펌웨어에 따라 여러 번의 재부팅이 필요할 수 있다. 2023년 인증서와 새 부트 관리자가 설치되어야 장치가 완전히 업데이트된 것으로 간주된다. 따라서 보안 부팅 항목에 표시되는 녹색 확인 표시를 기준으로 삼아야 한다.