보안 부팅 문제 해결 가이드

보안 부팅 업데이트에 진행률이 표시되지 않으면 일반적으로 업데이트 프로세스가 시작되지 않음을 의미합니다. 따라서 업데이트 메커니즘이 트리거되지 않았기 때문에 예상되는 보안 부팅 레지스트리 값 및 이벤트 로그가 누락되었습니다.

무슨 일이 있었나요

보안 부팅 업데이트 프로세스가 시작되지 않았으므로 보안 부팅 인증서 또는 업데이트된 부팅 관리자가 디바이스에 적용되지 않았습니다.

인식하는 방법

• UEFICA2023Status와 같은 보안 부팅 서비스 레지스트리 값이 없습니다.

• 예상 보안 부팅 이벤트(예: 1043, 1044, 1045, 1799, 1801)가 시스템 이벤트 로그에서 누락되었습니다.

• 디바이스는 이전 보안 부팅 인증서 및 부팅 구성 요소를 계속 사용합니다.

왜 그런 일이 일어나는가?

이 시나리오는 일반적으로 다음 조건 중 하나 이상이 true일 때 발생합니다.

• Secure-Boot-Update 예약된 작업이 비활성화되었거나 누락되었습니다.

• UEFI 펌웨어에서 보안 부팅을 사용할 수 없습니다.

• 디바이스는 지원되는 Windows 버전 실행 또는 필수 업데이트 설치와 같은 Windows 서비스 필수 구성 요소를 충족하지 않습니다.

다음에 수행할 일

• 디바이스가 Windows 서비스 및 플랫폼 자격 요구 사항을 충족하는지 확인합니다.

• 보안 부팅이 펌웨어에서 사용하도록 설정되어 있는지 확인합니다.

• SecureBootUpdate 예약된 작업이 존재하고 사용하도록 설정되어 있는지 확인합니다.

예약된 작업이 사용하지 않도록 설정되었거나 누락된 경우 보안 부팅 예약된 작업을 사용하지 않도록 설정하거나 삭제한 지침에 따라 복원합니다. 작업이 복원된 후 디바이스를 다시 시작하거나 작업을 수동으로 실행하여 보안 부팅 서비스를 시작합니다.

경우에 따라 보안 부팅 관련 업데이트로 인해 디바이스가 BitLocker 복구에 들어갈 수 있습니다. 동작은 근본 원인에 따라 일시적이거나 영구적일 수 있습니다.

시나리오 1: 보안 부팅 업데이트 후 일회성 BitLocker 복구

어떻게 되나요?

디바이스는 보안 부팅 업데이트 후 첫 번째 부팅 시 BitLocker 복구에 들어가지만 후속 다시 시작 시 일반적으로 부팅됩니다.

왜 그런 일이 일어나는가?

업데이트 후 첫 번째 부팅 중에 Windows가 BitLocker를 다시 봉인하려고 할 때 펌웨어는 업데이트된 보안 부팅 값을 아직 보고하지 않습니다. 이로 인해 측정된 부팅 값이 일시적으로 일치하지 않으며 복구가 트리거됩니다. 다음 부팅 시 펌웨어는 업데이트된 값을 올바르게 보고하고 BitLocker가 성공적으로 다시 봉인되며 문제가 다시 발생하지 않습니다.

인식하는 방법

• BitLocker 복구는 한 번 발생합니다.

• 복구 키를 입력한 후 후속 부팅은 복구를 프롬프트하지 않습니다.

• 진행 중인 부팅 순서 또는 PXE 참여가 없습니다.

다음에 수행할 일

• BitLocker 복구 키를 입력하여 Windows를 다시 시작합니다.

• 펌웨어 업데이트를 확인합니다.

시나리오 2: PXE 첫 번째 부팅 구성으로 인해 반복된 BitLocker 복구

어떻게 되나요?

디바이스는 부팅할 때마다 BitLocker 복구에 들어갑니다.

왜 그런 일이 일어나는가?

디바이스는 PXE(네트워크) 부팅을 먼저 시도하도록 구성됩니다. PXE 부팅 시도가 실패하고 펌웨어가 디스크 내 Windows 부팅 관리자로 돌아갑니다.

이로 인해 단일 부팅 주기 동안 두 개의 서로 다른 서명 기관이 측정됩니다.

• PXE 부팅 경로는 Microsoft UEFI CA 2011에 의해 서명됩니다.

• 디스크 내 Windows 부팅 관리자는 Windows UEFI CA 2023에 의해 서명됩니다.

BitLocker는 시작하는 동안 서로 다른 보안 부팅 트러스트 체인을 관찰하므로 다시 봉인할 안정적인 TPM 측정 집합을 설정할 수 없습니다. 결과적으로 BitLocker는 모든 부팅에서 복구에 들어갑니다.

인식하는 방법

• BitLocker 복구는 다시 시작할 때마다 트리거됩니다.

• 복구 키를 입력하면 Windows를 시작할 수 있지만 다음 부팅 시 프롬프트가 반환됩니다.

• PXE 또는 네트워크 부팅은 로컬 디스크보다 먼저 펌웨어 부팅 순서로 구성됩니다.

다음에 수행할 일

• 디스크 내 Windows 부팅 관리자가 먼저 되도록 펌웨어 부팅 순서를 구성합니다.

• 필요하지 않은 경우 PXE 부팅을 사용하지 않도록 설정합니다.

• PXE가 필요한 경우 PXE 인프라에서 2023 서명된 Windows 부팅 로더를 사용하는지 확인합니다.

무슨 일이 있었나요

이는 Windows 문제가 아닌 펌웨어 수준 변경을 반영합니다. 보안 부팅 업데이트가 성공적으로 완료되었지만 나중에 다시 시작한 후 디바이스가 더 이상 Windows로 부팅되지 않습니다.

인식하는 방법

• 디바이스가 Windows를 시작하지 못하고 보안 부팅 위반을 나타내는 펌웨어 또는 BIOS 메시지가 표시될 수 있습니다.

• 보안 부팅 설정이 펌웨어 기본값으로 다시 설정되면 오류가 발생합니다.

• 보안 부팅을 사용하지 않도록 설정하면 디바이스가 다시 부팅될 수 있습니다.

왜 그런 일이 일어나는가?

보안 부팅을 펌웨어 기본값으로 다시 설정하면 펌웨어에 저장된 보안 부팅 데이터베이스가 지워질 수 있습니다. 이미 Windows UEFI CA 2023 서명 부팅 관리자로 전환한 디바이스에서 이 재설정은 해당 부팅 관리자를 신뢰하는 데 필요한 인증서를 제거합니다.

따라서 펌웨어는 더 이상 설치된 Windows 부팅 관리자를 신뢰할 수 있는 것으로 인식하지 않으며 부팅 프로세스를 차단합니다.

이 시나리오는 보안 부팅 업데이트 자체가 아니라 업데이트된 트러스트 앵커를 제거하는 후속 펌웨어 작업으로 인해 발생합니다.

다음에 수행할 일

• 디바이스가 다시 부팅할 수 있도록 보안 부팅 복구 유틸리티를 사용하여 필요한 인증서를 복원합니다.

• 복구 후 디바이스 제조업체에서 사용 가능한 최신 펌웨어가 디바이스에 설치되어 있는지 확인합니다.

• OEM 펌웨어에 2023 인증서를 신뢰하는 업데이트된 보안 부팅 기본값이 포함되어 있지 않으면 보안 부팅을 펌웨어 기본값으로 다시 설정하지 마십시오.

보안 부팅 복구 유틸리티

시스템을 복구하려면 다음을 수행합니다.

1. 2024년 7월 이상 Windows 업데이트가 설치된 두 번째 Windows PC에서 C:\Windows\Boot\EFI\에서 SecureBootRecovery.efi를 복사합니다.

2. 파일을 FAT32 형식의 USB 드라이브 \EFI\BOOT\ 아래에 놓고 이름을 bootx64.efi로 바꿉니다.

3. USB 드라이브에서 영향을 받는 디바이스를 부팅하고 복구 유틸리티를 실행할 수 있도록 합니다. 유틸리티는 Windows UEFI CA 2023을 DB에 추가합니다.

인증서가 복원되고 시스템이 다시 시작되면 Windows가 정상적으로 시작됩니다.

중요: 이 프로세스는 새 인증서 중 하나만 다시 적용합니다. 디바이스가 복구되면 최신 인증서가 다시 적용되었는지 확인하고 시스템의 BIOS/UEFI를 사용 가능한 최신 버전으로 업데이트하는 것이 좋습니다. 이렇게 하면 많은 OEM이 이 특정 문제에 대한 펌웨어 수정을 릴리스했으므로 보안 부팅 재설정 문제가 되풀이되지 않도록 방지할 수 있습니다.

무슨 일이 있었나요

보안 부팅 인증서 업데이트를 적용하고 다시 시작한 후 디바이스가 부팅되지 않고 Windows에 도달하지 못합니다.

인식하는 방법

• 보안 부팅 업데이트에 필요한 다시 시작 직후 디바이스가 실패합니다.

• 펌웨어 또는 보안 부팅 오류가 표시되거나 Windows가 로드되기 전에 시스템이 중지될 수 있습니다.

• 보안 부팅을 사용하지 않도록 설정하면 디바이스가 부팅될 수 있습니다.

왜 그런 일이 일어나는가?

이 문제는 디바이스의 UEFI 펌웨어 구현 결함으로 인해 발생할 수 있습니다.

Windows가 보안 부팅 인증서 업데이트를 적용하는 경우 펌웨어는 기존 보안 부팅 허용 서명 데이터베이스(DB)에 새 인증서를 추가 해야 합니다. 일부 펌웨어 구현은 DB에 추가하는 대신 DB를 잘못 덮어씁 니다.

이 경우

• Microsoft 2011 부팅 로더 인증서를 포함하여 이전에 신뢰할 수 있는 인증서가 제거됩니다.

• 시스템에서 해당 시점에서 2011 인증서로 서명된 부팅 관리자를 계속 사용하는 경우 펌웨어는 더 이상 이를 신뢰하지 않습니다.

• 펌웨어는 부팅 관리자를 거부하고 부팅 프로세스를 차단합니다.

경우에 따라 DB가 완전히 덮어쓰지 않고 손상되어 동일한 결과가 발생할 수 있습니다. 이 동작은 특정 펌웨어 구현에서 관찰되었으며 규격 펌웨어에서는 예상되지 않습니다.

다음에 수행할 일

• 펌웨어 설정 메뉴를 입력하고 보안 부팅 설정을 다시 설정하려고 시도합니다.

• 디바이스가 다시 설정 후 부팅되면 디바이스 제조업체의 지원 사이트에서 보안 부팅 DB 처리를 수정하는 펌웨어 업데이트를 검사.

• 펌웨어 업데이트를 사용할 수 있는 경우 보안 부팅을 다시 사용하도록 설정하고 보안 부팅 인증서 업데이트를 다시 적용하기 전에 설치합니다.

보안 부팅을 다시 설정해도 부팅 기능이 복원되지 않는 경우 추가 복구에는 OEM 관련 지침이 필요할 수 있습니다.

무슨 일이 있었나요

보안 부팅 인증서 업데이트가 완료되지 않았으며 KEK(키 교환 키) 업데이트 단계에서 차단된 상태로 유지됩니다.

인식하는 방법

• AvailableUpdates 레지스트리 값은 KEK 비트(0x0004)로 설정된 상태로 유지되며 지워지지 않습니다.

• UEFICA2023Status 는 완료된 상태로 진행되지 않습니다.

• 시스템 이벤트 로그는 KEK 업데이트를 적용할 수 없음을 나타내는 이벤트 ID 1803을 반복적으로 기록합니다.

• 디바이스는 계속 진행하지 않고 업데이트를 다시 시도합니다.

왜 그런 일이 일어나는가?

보안 부팅 KEK를 업데이트하려면 OEM이 소유한 디바이스의 PK(플랫폼 키)의 권한 부여가 필요합니다.

업데이트가 성공하려면 디바이스 제조업체가 Microsoft에 해당 특정 플랫폼에 대한 PK 서명 KEK 를 제공해야 합니다. 이 OEM 서명 KEK는 Windows 업데이트에 포함되며 Windows에서 펌웨어 KEK 변수를 업데이트할 수 있습니다.

OEM에서 디바이스에 대해 PK 서명 KEK를 제공하지 않은 경우 Windows에서 KEK 업데이트를 완료할 수 없습니다. 이 상태에서는 다음을 수행합니다.

• 보안 부팅 업데이트는 의도적으로 차단됩니다.

• Windows에서 누락된 권한 부여를 해결할 수 없습니다.

• 디바이스는 보안 부팅 인증서 서비스를 영구적으로 완료할 수 없습니다.

이는 OEM이 더 이상 펌웨어 또는 키 업데이트를 제공하지 않는 이전 또는 지원되지 않는 디바이스에서 발생할 수 있습니다. 이 조건에 대해 지원되는 수동 복구 경로가 없습니다.

맨 위로

보안 부팅 인증서 업데이트가 적용되지 않으면 Windows는 진행률이 차단된 이유를 설명하는 진단 이벤트를 기록합니다. 이러한 이벤트는 펌웨어, 플랫폼 상태 또는 구성 조건으로 인해 DB(보안 부팅 서명 데이터베이스) 또는 KEK(키 교환 키)를 안전하게 완료할 수 없는 경우에 기록됩니다. 이 섹션의 시나리오는 이러한 이벤트를 참조하여 일반적인 실패 패턴을 식별하고 적절한 수정을 결정합니다. 이 섹션은 새로운 실패 시나리오를 도입하지 않고 앞에서 설명한 문제의 진단 및 해석을 지원하기 위한 것입니다.

이벤트 ID, 설명 및 예제 항목의 전체 목록은 보안 부팅 DB 및 DBX 변수 업데이트 이벤트(KB5016061)를 참조하세요.

KEK 업데이트 실패(DB 업데이트 성공, KEK는 실패)

디바이스는 보안 부팅 DB에서 인증서를 성공적으로 업데이트할 수 있지만 KEK 업데이트 중에는 실패합니다. 이 경우 보안 부팅 업데이트 프로세스를 완료할 수 없습니다.

증상

• DB 인증서 이벤트는 진행률을 나타내지만 KEK 단계는 완료되지 않았습니다.

• AvailableUpdates는 0x4004 설정된 상태로 유지되며 여러 작업을 실행한 후에는 0x0004 비트가 지워지지 않습니다.

• 이벤트 1795 또는 1803 이 있을 수 있습니다.

해석

• 1795 는 일반적으로 보안 부팅 변수를 업데이트하는 동안 펌웨어 오류를 나타냅니다.

• 1803 은 플랫폼에 필요한 OEM PK 서명 KEK 페이로드를 사용할 수 없기 때문에 KEK 업데이트에 권한을 부여할 수 없음을 나타냅니다.

다음 단계

• 1795의 경우 OEM 펌웨어 업데이트를 검사 보안 부팅 변수 업데이트에 대한 펌웨어 지원의 유효성을 검사합니다.

• 1803의 경우 OEM이 디바이스 모델에 필요한 PK 서명 KEK를 Microsoft에 제공했는지 확인합니다.

Hyper-V에서 호스트되는 게스트 VM의 KEK 업데이트 실패 

Hyper-V 가상 머신에서 보안 부팅 인증서 업데이트를 사용하려면 Hyper-V 호스트와 게스트 OS 모두에 2026년 3월 Windows 업데이트를 설치해야 합니다.

업데이트 실패는 게스트 내에서 보고되지만 이벤트는 수정이 필요한 위치를 나타냅니다.

• 게스트에서 보고된 이벤트 1795(예: "미디어가 쓰기 보호됨")는 Hyper-V 호스트에 2026년 3월 업데이트가 없음을 나타내며 업데이트해야 합니다.

• 게스트에서 보고된 이벤트 1803은 게스트 가상 머신 자체가 2026년 3월 업데이트가 누락되었음을 나타내며 업데이트해야 합니다.