Windows NT 시스템 키가 SAM의 강력한 암호화를 허용한다

기술 자료 번역 기술 자료 번역
기술 자료: 143475 - 이 문서가 적용되는 제품 보기.
이 문서는 이전에 다음 ID로 출판되었음: KR143475
모두 확대 | 모두 축소

이 페이지에서

요약

Windows NT Server 4.0 시스템 키 핫픽스는 강력한 암호화 기술을 사용하는 기능을 제공하여 보안 계정 관리자(SAM)를 통해 레지스트리에 저장된 계정 암호 정보를 더 많이 보호합니다. Windows NT Server는 액세스 제어 및 혼란화 기능으로 보호된 레지스트리의 보안 부분에 사용자 계정 암호의 변형된 형태를 포함하여 사용자 계정 정보를 저장합니다. 레지스트리의 계정 정보는 관리자 그룹의 구성원만 액세스할 수 있습니다. Windows NT Server에서도 다른 운영 체제와 마찬가지로 관리자에 해당하는 권한이 있는 사용자만 해당 시스템의 모든 리소스에 액세스할 수 있습니다. 보안 향상을 목표로 하는 설치의 경우 계정 암호 파생 정보의 강력한 암호화는 보안 수준을 추가로 제공하여 레지스트리 프로그래밍 인터페이스를 통해 관리자가 고의로 또는 본의 아니게 암호 파생물에 액세스하지 못하도록 합니다.

이 파일은 아래의 인터넷 위치에 게시되어 있습니다.
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/nt40/hotfixes-postsp2/sec-fix/
참고: Windows NT Server 4.0 시스템 키 핫픽스를 설치하려면 먼저 Windows NT 4.0 서비스 팩 3(SP3) 이상을 다운로드하여 설치하십시오. 이렇게 하려면 아래의 Microsoft 웹 사이트를 방문하십시오.
http://www.microsoft.com/ntserver/nts/downloads/
참고: SYSKEY 키 저장 위치를 변경하려면 레지스트리를 직접 수정하지 말고 SYSKEY 도구를 사용하십시오. 레지스트리를 직접 수정하면 SYSKEY가 올바르게 작동하지만 그렇지 않은 것처럼 보입니다.

중요: Syskey 도구의 보안 문제에 대한 중요한 정보를 보려면 Microsoft 기술 자료의 다음 문서를 참조하십시오.
248183 Syskey Tool Reuses Keystream

추가 정보

Windows NT 4.0 시스템 키 핫픽스를 사용한 강력한 암호화 기능은 옵션 기능입니다. 관리자는 Windows NT용 시스템 키를 정의하여 강력한 암호를 구현하도록 선택할 수 있습니다. 강력한 암호는 암호 암호화 키(password encryption key)라고 하는 128비트 암호화 임의 키를 사용해서 암호 데이터를 암호화하여 개인 계정 정보를 보호합니다.

데이터베이스에서 개인 암호 정보만 강력하게 암호화되고, 전체 계정 데이터베이스는 강력하게 암호화되지 않습니다. 강력한 암호화 옵션을 사용하는 시스템은 모두 고유한 암호 암호화 키를 갖습니다. 암호 암호화 키는 그 자체가 시스템 키를 사용하여 암호화됩니다. 강력한 암호 암호화는 Windows NT Server와 계정 정보가 저장된 Windows NT Workstation 모두에서 사용될 수 있습니다. 계정 암호의 강력한 암호화를 사용하면 레지스트리와, RDISK 명령을 사용하여 만든 %systemroot%\repair 디렉터리 및 시스템 백업 테이프에 있는 레지스트리 정보의 후속 백업 사본에서 SAM 부분에 있는 내용이 추가로 보호됩니다.

시스템 키는 Syskey.exe 명령을 사용하여 정의합니다. Syskey.exe 명령은 관리자 그룹의 구성원만 실행할 수 있습니다. 이 유틸리티는 시스템 키를 초기화하거나 변경할 때 사용됩니다. 시스템 키는 암호 암호화 키를 보호하는 데 사용되는 "마스터 키"이므로 시스템 키의 보호는 중요한 시스템 보안 작업입니다.

다른 Windows NT 환경의 요구 사항을 충족시키도록 고안된 시스템 키를 관리하는 옵션에는 세 가지가 있습니다. 시스템 키 옵션은 아래와 같습니다.
  • 시스템 생성 임의 키를 시스템 키로 사용한 다음 복잡한 혼란화 알고리즘을 사용하여 로컬 시스템에 키를 저장합니다. 이 옵션은 레지스트리에서 암호 정보의 강력한 암호화를 제공하고 무인 시스템 다시 시작을 허용합니다.
  • 시스템 생성 임의 키를 사용하여 플로피 디스크에 키를 저장합니다. 시스템을 시작하려면 시스템 키가 저장된 플로피 디스크가 필요하며 Windows NT에서 시작 단계가 시작된 이후 사용자가 해당 시스템에 로그온할 수 있는 단계 전에 디스크를 삽입하라는 메시지가 나타나면 이 플로피 디스크를 삽입해야 합니다. 시스템 키는 로컬 시스템에 저장되지 않습니다.
  • 관리자가 선택한 암호를 사용하여 시스템 키를 파생시킵니다. 시스템이 초기 시작 단계에 있지만 사용자가 해당 시스템에 로그온할 수 있기 전에 Windows NT가 시스템 키 암호에 대해 묻습니다. 시스템 키 암호는 시스템에 저장되지 않습니다. 암호 암호화 키를 보호하기 위해 암호의 MD5 다이제스트가 마스터 키로 사용됩니다.
암호를 사용하거나 플로피 디스크를 필요로 하는 시스템 키 옵션을 사용하면 Windows NT 운영 체제를 초기화하는 동안 새로운 프롬프트가 나타납니다. 이러한 시스템 키 옵션은 가장 강력한 보호 옵션을 제공합니다. 시스템에 마스터 키 자료를 저장하지 않고 해당 키의 제어를 개인 사용자 몇 명으로만 제한할 수 있기 때문입니다. 즉, 시스템 키 암호를 알아내거나 시스템 키 디스크를 가지려면 시스템을 부팅해야 합니다. 시스템 키를 플로피 디스크에 저장하는 경우에는 시스템 키 디스크를 백업해 놓는 것이 좋습니다. 시스템을 무인 상태에서 다시 시작하려면 관리자 응답이 없는 경우 해당 시스템이 시스템 키 자료를 사용할 수 있어야 합니다. 시스템 키를 복잡한 혼란화 알고리즘을 사용하여 로컬 시스템에 저장하면 핵심 운영 체제 보안 구성 요소만 해당 키를 사용할 수 있습니다. 앞으로는 최대 보안을 위해 변조 방지 하드웨어 구성 요소에서 키 자료를 얻을 수 있도록 시스템 키를 구성할 수 있을 것입니다.

경고: 시스템 키 암호를 잊어 버리거나 시스템 키 플로피 디스크를 잃은 경우에는 시스템을 시작하지 못할 수도 있습니다. 비상 시에는 백업 사본을 사용하여 시스템 키 정보를 안전하게 보호하고 저장하십시오. 시스템 키를 잃어버린 경우에 시스템을 복구할 수 있는 유일한 방법은 복구 디스크를 사용하여 강력한 암호를 활성화하기 이전 상태로 레지스트리를 복원하는 것입니다. 아래의 복구 문제 절을 참조하십시오.

강력한 암호화가 주 도메인 컨트롤러(PDC)와 각 백업 도메인 컨트롤러(BDC)에서 따로따로 구성될 수도 있습니다. 각 도메인 컨트롤러마다 고유한 암호 암호화 키와 고유한 시스템 키를 갖게 됩니다. 예를 들어, 주 DC는 디스크에 있는 시스템 생성 시스템 키를 사용하도록 구성되고 백업 DC는 각각 로컬 시스템에 저장된 다른 시스템 생성 시스템 키를 사용할 수 있습니다. 주 도메인 컨트롤러에 로컬로 저장된 시스템 생성 시스템 키는 복제되지 않습니다.

주 도메인 컨트롤러에 대한 강력한 암호화를 활성화하기 전에 주 도메인에 대한 변경 작업이 완료되고 확인될 때까지 완전 업데이트된 백업 도메인 컨트롤러를 백업 시스템으로 사용할 수 있는지 확인할 수 있습니다. 시스템에 있는 강력한 암호화를 활성화하기 전에 RDISK /S 명령을 사용하여 레지스트리의 보안 정보를 포함하여 새로운 응급 복구 디스크 사본을 만드는 것이 좋습니다. RDISK /S를 사용하기 전에 Microsoft 기술 자료의 다음 문서를 참조하십시오.
문서 번호: 122857
제목: RDISK /S and RDISK /S- Options in Windows NT

SYSKEY 명령은 시스템 키 옵션을 선택하고 초기 키 값을 생성하는 데 사용됩니다. 키 값은 시스템 생성 키이거나 암호 파생 키 중 하나일 수 있습니다. SYSKEY 명령은 먼저 강력한 암호가 활성화되었는지 아니면 해제되었는지 여부를 보여주는 대화 상자를 표시합니다. 강력한 암호화 기능을 활성화한 후에는 사용 불가능하게 해제할 수 없습니다. 계정 데이터베이스의 강력한 인증을 사용하려면 "암호화 사용" 옵션을 선택한 다음 확인을 누르십시오. 관리자에게 업데이트된 비상 복구 디스크를 만들 것인지 묻는 확인 대화 상자가 나타납니다. 계정 데이터베이스 키에 대한 옵션이 제시된 새로운 대화 상자가 나타납니다. 계정 데이터베이스 키 대화 상자에서 사용할 수 있는 옵션을 사용하여 시스템 키를 선택하십시오.

시스템 키 옵션을 선택한 후 해당 시스템 키 옵션을 유효하게 하려면 Windows NT를 다시 시작해야 합니다. 시스템이 다시 시작되면 선택한 키 옵션에 따라 관리자에게 시스템 키를 입력하라는 메시지가 나타날 수도 있습니다. 해당 시스템 키를 처음 사용하는 것이면 Windows NT가 새로운 임의의 암호 암호화 키를 생성합니다. 암호 암호화 키가 시스템 키로 보호된 다음 모든 계정 암호 정보가 강력하게 암호화됩니다.

계정 암호 정보를 강력하게 암호화해야 하는 각 시스템에서 SYSKEY 명령을 실행해야 합니다. SYSKEY는 마스터 키를 생성한 다음 키를 로컬로 시스템에 저장하는 "-l" 명령 옵션을 지원합니다. 이 옵션은 레지스트리의 강력한 암호 암호화를 활성화하고 대화형 대화 상자 없이도 명령이 실행되게 합니다. 나중에라도 SYSKEY 명령을 사용하여 시스템 키 옵션을 한 방법에서 다른 방법으로 변경하거나 시스템 키를 새 키로 변경할 수 있습니다. 시스템 키를 변경하려면 현재 시스템 키를 알고 있거나 갖고 있어야 합니다. 암호 파생 시스템 키 옵션을 사용하면 SYSKEY가 최소 암호 길이를 강제하지 않지만 13자 이상이 좋습니다. 시스템 키 암호의 최대 길이는 128자입니다.

SYSKEY가 모든 도메인 컨트롤러에 적용되어야 합니다. 이렇게 하지 않으면 백업 도메인 컨트롤러(BDC)의 SAM이 주 도메인 컨트롤러(PDC)의 SAM보다 안전하지 않게 됩니다. 따라서 SYSKEY를 설치했던 지점이 훼손됩니다.

복구 문제

계정 암호 정보를 강력하게 암호화하면 레지스트리의 SYSTEM 및 SAM 부분이 변경되어 Windows NT 시스템의 복구에 사용할 수 있는 복구 옵션이 영향을 받습니다. \Repair 폴더에 있는 레지스트리의 SYSTEM 및 SAM 부분에 대한 백업 사본을 포함하여 새로운 응급 복구 디스크를 만들려면 항상 RDISK 명령과 함께 /S 옵션을 사용하십시오.

전체 복구 옵션에 대해 다음과 같은 응급 복구 디스크를 사용할 수 있어야 합니다.
  • 시스템 키 핫픽스를 설치하기 전에 새로운 복구 디스크를 만듭니다. 이 디스크는 핫픽스를 설치하기 이전의 시스템 구성 및 계정 정보 사본이 포함되어 있는 "핫픽스 전" 복구 디스크입니다. "핫픽스 전" 복구 디스크는 Windows NT 배포 CDROM을 사용하여 레지스트리 및 시스템 파일을 복구하는 데도 사용할 수 있습니다.
  • 시스템 키 핫픽스 설치 후 그러나 SYSKEY 명령을 사용하여 강력한 암호화를 활성화하기 전에 복구 디스크를 만듭니다. 이 복구 디스크는 "핫픽스 - 암호화 이전" 복구 디스크입니다. 이 복구 디스크는 강력한 암호화를 활성화하기 전의 상태로 레지스트리를 복구하는 데 사용할 수 있습니다. 예를 들어, Windows NT 시스템 키를 잃었거나 잊은 경우에 시스템을 복구하는 데 사용할 수 있습니다.
  • SYSKEY를 실행하여 강력한 암호화를 사용한 후 복구 디스크를 만듭니다. 이 복구 디스크는 "핫픽스 - 암호화 이후" 복구 디스크입니다. 이 복구 디스크와 이 복구 디스크에 대한 후속 업데이트는 해당 복구 디스크를 마지막으로 업데이트한 때에 사용한 시스템 키를 사용하여 손상되지 않은 강력한 암호화로 레지스트리를 복구하는 데 사용될 수 있습니다.
강력한 암호화에 대한 시스템 키 핫픽스는 다음과 같은 시스템 구성 요소에 영향을 줍니다.
  • SYSTEM 및 SAM 레지스트리 하이브
  • 세 가지 시스템 보안 구성 요소 파일: Winlogon.exe, Samsrv.dll, Samlib.dll
일반적으로 복구 프로세스는 이러한 구성 요소와 일치하는 버전을 사용해야 합니다. 어떤 복구 옵션을 선택하더라도 복구 프로세스는 일치하는 시스템 파일과 레지스트리 하이브의 복구를 조정합니다.

다음 표는 사용할 수 있는 복구 옵션의 목록을 보여줍니다.

복구 후 원하는        적용할 복구         복구되는 시스템
시스템 구성           디스크

--------------------------------------------------------------------------

Windows NT 4.0,       "핫픽스 전"        레지스트리가 핫픽스를 설치하기 전의
핫픽스 설치           복구 디스크        시스템과 일치합니다. 핫픽스 전
이전                                     레지스트리 형식과 일치하려면 
                                         Windows NT 4.0 컴팩트 
                                         디스크에서 세 가지 시스템
                                         보안 구성 요소 파일을 복구해야
                                         합니다.

Windows NT 4.0,       "핫픽스 - 암호화   레지스트리가 강력한 암호화 이전의
핫픽스가 설치되       이전" 복구         시스템과 일치합니다.
었지만, 강력한        디스크             시스템 키가 적용되지 않았고,
암호화가 활성화                          강력한 암호화가 활성화되지 않았습니다.
되지 않음                                Windows NT 4.0 컴팩트 디스크에서
                                         시스템 보안 파일을 복구할
                                         필요가 없습니다.

Windows NT 4.0,       "핫픽스 - 암호화   레지스트리가 강력한 암호화를
핫픽스가 설치          이후" 복구        활성화한 시스템과 
되었고 강력한          디스크            일치합니다. 당시에 사용한
암호화가 활성화됨                        시스템 키가 복구 디스크를 만든
                                         당시의 시스템 키입니다.
                                         


관리자가 시스템 키 핫픽스를 설치한 후의 시스템을 복구해야 하는 경우에는 레지스트리의 SYSTEM 부분과 SAM 부분을 모두 동시에 복구해야 합니다. 레지스트리의 SYSTEM 부분에 있는 시스템 키 옵션이 해당 레지스트리의 SAM 부분에 사용된 강력한 암호화 키와 일치해야 합니다. 레지스트리 하이브를 하나만 복구하고 다른 레지스트리 하이브는 복구하지 않으면 시스템이 계정 암호 정보에 대해 사용한 강력한 암호화 키와 일치하지 않는 다른 시스템 키(암호 파생 또는 시스템 생성)를 사용하려 할 수도 있습니다.

시스템 키 핫픽스를 설치하면 System.log 파일에 있는 시스템 보안 구성 요소(Winlogon.exe, Samsrv.dll, Samlib.dll)의 검사값이 업데이트됩니다. System.log 파일은 응급 복구 디스크에 저장되어 있습니다. System.log 파일은 복구 동안 핫픽스 전 레지스트리 구성과 일치시키기 위해 Windows NT Server 4.0 CD-ROM에서 파일을 업데이트해야 하는지 여부를 결정하는 데 사용됩니다. 원하는 복구 시스템 구성이 시스템 키 핫픽스가 설치된 Windows NT Server 4.0이라면 이러한 시스템 보안 파일을 복구하지 않아도 됩니다.

시스템 키 핫픽스를 설치했지만 아직 강력한 암호화를 활성화하지 않은 시점에 시스템 키 핫픽스를 설치하기 전에 만든 복구 디스크(즉, "핫픽스 전" 복구 디스크)를 사용하여 시스템을 복구하려면 SYSTEM 및 SAM 레지스트리도 함께 복구해야 합니다. 레지스트리를 복구하지 않으면 시스템 파일과 레지스트리의 형식이 일치하지 않습니다. 이러한 경우에 로그온하려고 하면 오류(오류 번호 C00000DF)가 발생합니다. 레지스트리와 시스템 파일이 일치하지 않으면 복구 프로시저가 일치하는 시스템과 레지스트리 파일을 복구합니다. 같은 "핫픽스 전" 복구 디스크에서 레지스트리 하이브를 복구하거나, 시스템 키 핫픽스 시스템 파일과 일치하는 레지스트리 형식을 가진 "핫픽스 - 암호화 이전" 복구 디스크를 사용하십시오.

마지막으로 시스템 보안 파일(Winlogon, Samsrv.dll, Samlib.dll)이 손상된 경우에는 "핫픽스 전" 복구 디스크를 복구한 다음 Windows NT Server 4.0 CD-ROM에서 손상된 파일을 복구해야 합니다. 또한 SYSTEM 및 SAM 레지스트리 하이브도 복구하여 "핫픽스 전" 복구 디스크의 시스템 파일과 일치시켜야 합니다.

현재 미국 수출 통제법은 암호와 같은 인증 데이터를 보호하는 데 128비트 암호화 키의 사용을 허용하고 있습니다. Syskey에 사용되는 암호화 키는 SAM과, 레지스트리의 Security 부분에 저장되어 있는 암호를 보호하는 데만 사용됩니다. 128비트 Syskey 암호화를 사용하여 범용 데이터 보호에 사용할 수 있는 응용 프로그램 API는 없습니다.

Windows 2000 이상의 운영 체제에서는 Syskey를 자동으로 사용할 수 있으며, 해제되지 않습니다. 이를 수정하기 위한 유일한 옵션은 로컬 저장소를 사용하기 보다는 시작 키를 플로피 디스크로 옮기는 것입니다.

속성

기술 자료: 143475 - 마지막 검토: 2003년 5월 5일 월요일 - 수정: 2.0
본 문서의 정보는 다음의 제품에 적용됩니다.
  • Microsoft Windows NT Workstation 4.0 Developer Edition
  • Microsoft Windows NT Server 4.0 Standard Edition
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Datacenter Server
  • Microsoft Windows 2000 Professional Edition
  • Microsoft Windows 2000 Server
키워드:?
kbinfo kbenv kbnetwork KB143475

피드백 보내기

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com