원래 게시 날짜: 2026년 10월 22일
KB ID: 5132953
2026년 10월 19일부로 2011년에 처음 발급된 Microsoft 보안 부팅 인증서는 15년 만료일에 도달했습니다. 이 만료로 인해 컴퓨터 켜기가 중지되거나 Windows가 시작되지 않습니다. 기존 장치가 계속 시작되고 Windows를 정상적으로 실행합니다. 인증서 만료가 Windows 디바이스에 미치는 영향에 대한 자세한 내용은 Windows 디바이스에서 보안 부팅 인증서가 만료되는 경우를 참조하세요. 광범위한 2026년 보안 부팅 인증서 만료 일정 및 교체 기관에 대한 배경은 Windows 보안 부팅 인증서 만료 및 CA 업데이트를 참조하세요.
대상 그룹
이 문서는 실제 Windows 플릿, 서버 워크로드, 가상 머신 및 설치 미디어를 관리하는 IT 전문가, 엔터프라이즈 관리자 및 배포 엔지니어를 위한 것입니다.
Windows 업데이트를 통해 장치가 자동으로 업데이트되는 가정용 또는 개인용 컴퓨터 사용자의 경우 이 문서에 설명된 작업을 수행할 필요가 없습니다. Windows 업데이트는 개인 장치의 인증서 및 시작 파일 업데이트를 자동으로 관리합니다. 소비자 중심 지침은 Microsoft에서 관리하는 업데이트를 사용하여 가정 사용자, 기업 및 학교를 위한 Windows 장치를 참조하세요.
무엇이 변경되나요?
사전 부팅 맬웨어 및 무단 변조로부터 시스템을 보호하기 위해 Windows 실행 파일은 다음 두 가지 운영 단계에서 확인된 디지털 서명에 의존합니다.
사전 부팅 보안 부팅 확인: Windows가 로드되기 전에 UEFI 펌웨어는 펌웨어 허용된 서명 데이터베이스(DB)의 신뢰할 수 있는 기관에 대해 Windows 부팅 로더의 디지털 서명(
bootmgfw.efi예: 및cdboot.efi)을 확인합니다.Windows 내 운영 체제 런타임 확인: Windows가 부팅되면 운영 체제 커널 및 보안 기능은 드라이버(
.sys), 시스템 서비스 및 응용 프로그램 이진 파일(.exe,.dll)의 Authenticode 디지털 서명을 확인합니다.
2026년 10월 19일부로 Microsoft Windows Production PCA 2011 인증서가 예정된 만료에 도달했으며 Microsoft는 두 서명 도메인을 모두 최신 인증 기관으로 전환했습니다.
보안 부팅 및 부트로더 업데이트(사전 부팅)
정적 이진 형식으로 부트로더 정지: 2011 인증서로 서명된 최종 Windows 부팅 관리자 릴리스는 지원되는 모든 Windows 서비스 분기에서 정적 이진 형식으로 고정되며 향후 코드 서비스 또는 보안 패치를 받지 않습니다.
향후 부트로더 업데이트에는 Windows UEFI CA 2023이 필요합니다. Windows 부팅 로더에 대한 모든 후속 보안 패치는 Windows UEFI CA 2023 인증서 체인으로만 서명됩니다. 일반 부트로더 서비스, 디바이스 상태 확인 및 레지스트리 추적에 대한 자세한 내용은 Windows 보안 앱의 보안 부팅 인증서 업데이트 상태, 보안 부팅에 대한 레지스트리 키 업데이트, Windows 보안 부팅 인증서 만료 및 CA 업데이트를 참조하세요.
설치 미디어 부트로더 전환: 향후 업데이트 미디어 릴리스에서 Microsoft 배포 설치 미디어는 고정된 2011 부트로더를 미디어에 유지하면서 기본적으로 2023 서명된 부트로더를 사용하여 부팅되도록 전환됩니다. 미디어 복귀 스크립트를 통해 시스템을 위해 고정된 2011 부트로더로 부팅하도록 미디어를 구성합니다. 자세한 미디어 계획 및 복귀 도구는 부팅 미디어 및 OS 내 설정 동작 섹션에 설명되어 있습니다.
In-Windows 운영 체제 이진 및 카탈로그 서명(런타임)
교체 서명 기관으로 전환: Windows 운영 체제 콘텐츠(Authenticode 서명이 포함된 바이너리 및 서명된 Windows 보안 카탈로그를 통해 인증된 구성 요소 포함)는 사용 중지되는 Windows Production PCA 2011에서 대체 Microsoft 인증 기관으로 전환됩니다. 서명 인증 기관은 암호화 표준 및 서명 사례가 발전함에 따라 향후 변경될 수 있습니다.
PCA 2011 이진 서명 중단: 2026년 10월 19일부터 Microsoft는 더 이상 2011 PCA 인증서를 사용하여 이진 또는 보안 카탈로그에 디지털 서명하지 않습니다. 시스템에 이미 설치된 기존 바이너리는 계속 정상적으로 실행되지만 2011 인증서로 서명된 추가 업데이트를 받지 못합니다.
애플리케이션 제어 및 검증 도구 영향: PCA 2011 기관에 신뢰를 고정하는 WDAC(비즈니스용 사용자 지정 앱 컨트롤) 정책, 서명된 보안 카탈로그 또는 CI/CD 확인 도구는 업데이트된 이진 파일을 차단할 수 있습니다. 정책을 검토하고 타사 소프트웨어를 확인하는 방법에 대한 지침은 운영 고려 사항 및 잠재적 영향 섹션에 설명되어 있습니다.
운영 고려 사항 및 잠재적 영향
지원되는 완전히 업데이트된 Windows 설치는 원활하게 전환되지만 사용자 지정 애플리케이션 제어 정책, 빌드 확인 파이프라인 또는 특정 서명 인증서 검사를 적용하는 조직은 다음 운영 영역을 평가해야 합니다.
응용 프로그램 제어 정책(비즈니스용 App Control/WDAC)
organization에서 비즈니스용 App Control 또는 서명된 보안 카탈로그를 사용하는 경우 특정 인증 기관, 발급자 또는 지문(예: Microsoft Windows Production PCA 2011)에서 Microsoft 서명 코드에 권한을 부여하는 규칙에 대한 정책을 검토합니다. 업데이트된 Windows 이진 파일 및 보안 카탈로그는 2011 PCA 인증서가 아닌 대체 인증 기관으로 서명되므로 파일이 이러한 규칙과 일치하지 않을 수 있으며 적용 시 차단될 수 있습니다. 이진 서명 인증 기관은 향후에 변경될 수 있습니다.
잠재적 증상: 누적 보안 업데이트 설치 실패, 시작 중 서비스 실패, 응용 프로그램 실행 파일 또는 DLL 블록, 이벤트 로그의 코드 무결성 이벤트 3077
인증서 민첩성 및 향후 변경 사항: 업데이트된 Windows 바이너리 및 보안 카탈로그가 대체 기관으로 전환되는 동안 서명 인증서 및 인증 기관은 암호화 표준이 발전함에 따라 향후에 변경될 것입니다. 따라서 앱 제어 정책 및 보안 카탈로그는 특정 인증 기관, 주체 또는 지문에 고정하지 말고 Microsoft가 시간이 지남에 따라 서명 인증서를 순환하므로 호환이 유지되는 잘 알려진 게시자 규칙 또는 정책 상속을 사용해야 합니다.
필요한 조치: 예제 기본 정책에서 상속된 규칙을 포함하여 Microsoft CA를 참조하는 서명자 규칙에 대한 정책 XML을 검색합니다. 먼저 감사 모드에서 정책 변경 내용을 배포하고 적용하기 전에 결과를 검토합니다. 자세한 정책 검토 단계 및 에코시스템 지침은 차세대 코드 서명을 위한 Windows 에코시스템 준비를 참조하세요.
사용자 지정 인증서 유효성 검사, CI/CD 파이프라인 및 보안 소프트웨어를 사용하는 애플리케이션
대부분의 Windows 애플리케이션은 영향을 받지 않습니다. 애플리케이션은 특정 Microsoft 인증서 또는 서명 알고리즘에 연결된 사용자 지정 유효성 검사를 사용하거나 개인 신뢰 저장소를 유지 관리하는 경우에만 위험합니다. Windows 애플리케이션, CI/CD 파이프라인 또는 타사 보안 도구를 관리하는 조직은 다음 영역을 평가해야 합니다(이진 서명 인증 기관은 향후 변경될 수 있음).
사용자 지정 응용 프로그램 인증서 유효성 검사: 사용자 지정 유효성 검사를 수행하고 PCA 2011이 있다고 가정하거나, 특정 인증서 체인의 유효성을 검사하거나, 인증서 주제에 고정하거나, 고정 서명 특성에 의존하는 모든 응용 프로그램 또는 서비스는 오류가 발생하거나 Windows에서 신뢰할 수 있는 것으로 인식하는 Microsoft 서명 파일을 거부할 수 있습니다. 고정 인증서 또는 서명 알고리즘에 연결된 사용자 지정 검사 대신 지원되는 Windows 신뢰 API(예: WinVerifyTrust)를 사용하도록 애플리케이션 유효성 검사를 업데이트합니다.
개인 신뢰 저장소를 사용하는 소프트웨어: 프라이빗 트러스트 저장소를 유지 관리하는 모든 응용 프로그램, 컨테이너 또는 서비스에 합법적인 Microsoft 인증서 순환을 인식하는 프로세스가 있는지 확인합니다.
빌드 유효성 검사 및 CI/CD 파이프라인: 예상되는 인증 기관의 정적 허용 목록을 적용하는 자동화된 빌드 게이트 및 정적 스캐너는 새로 업데이트된 Windows 구성 요소에 대한 검증 실패(예: 정책 불일치 오류)를 보고할 수 있습니다. 정적 서명자 허용 목록을 업데이트하여 대체 Microsoft 인증 기관을 인식하고, 서명 표준이 발전함에 따라 향후 인증 기관 순환을 수용하는 확인 프로세스를 수립합니다.
타사 보안 및 바이러스 백신 소프트웨어: 특정 타사 바이러스 백신, 끝점 보호 및 응용 프로그램 보호 제품은 Authenticode 서명을 직접 검사합니다. 소프트웨어 공급업체에서 대체 Microsoft 서명 인증서와의 호환성을 검토하고 테스트했는지 확인합니다. 기술 검증 도구 지침은 차세대 코드 서명을 위한 Windows 에코시스템 준비를 참조하세요.
이전 하드웨어에 미디어 배포 부팅
향후 업데이트 미디어 릴리스에서 공식 설치 미디어는 기본적으로 Windows UEFI CA 2023 부팅 관리자를 사용하여 부팅으로 전환됩니다.
잠재적 증상: UEFI 펌웨어의 허용된 서명 데이터베이스(DB)에 2023 인증서가 없는 물리적 하드웨어에서 업데이트된 미디어를 부팅하면 보안 부팅 위반으로 실패합니다.
필요한 조치: 2023 인증서를 신뢰하는 업데이트된 OEM BIOS가 없는 이전 하드웨어의 경우 고정된 2011 부트로더를 사용하여 부팅하도록 미디어를 구성하는 미디어 복귀 스크립트가 제공됩니다.
부팅 미디어 및 OS 내 설정 동작
설치 미디어 및 운영 체제 설정의 전환은 기존 Windows 버전과 향후 Windows 릴리스 간에 다릅니다.
기존 Windows 버전의 설치 미디어
설치 미디어의 기본 부팅 경로: 현재 지원되는 Windows 버전의 향후 설치 미디어 릴리스는 부팅 미디어의 기본 시작 파일로 \EFI\Boot\bootx64.efi에 있는 2023 서명된 Windows 부팅 관리자를 준비합니다.
이전 펌웨어에 대한 미디어 복원: 설치 미디어는 2023 서명 및 2011 서명 부팅 이진 파일을 모두 패키지하며 미디어 및 대상 EFI 시스템 파티션(ESP)의 기존 디렉터리 구조를 유지합니다. 2011 부팅 파일이 필요한 하드웨어의 경우 고정된 2011 부팅 관리자를 사용하여 부팅하도록 미디어를 구성하는 미디어 복귀 스크립트가 제공됩니다.
현재 위치 업그레이드 동작: 현재 위치 업그레이드를 수행할 때 Windows 설치 프로그램이 펌웨어 허용 서명 데이터베이스(DB)를 검사합니다. 펌웨어가 이미 Windows UEFI CA 2023을 신뢰하는 경우 설치 프로그램은 2023 서명된 부팅 관리자를 사용하여 대상 EFI 시스템 파티션(ESP)을 프로비전합니다. 펌웨어가 PCA 2011만 신뢰하는 경우 설치 프로그램은 시작 기능을 유지하기 위해 2011 서명된 부팅 관리자를 프로비전합니다. 업그레이드 후 표준 Windows 서비스는 펌웨어 DB에 대한 인증서 업데이트를 관리하고 펌웨어 신뢰가 설정되면 후속 품질 업데이트는 ESP를 2023 부트로더로 전환합니다.
Azure Marketplace 미디어 전환: Azure 자사 VM 갤러리 이미지 및 호스트 배포 파이프라인은 2023년 기본 부팅 미디어 일정에 맞춰야 합니다.
향후 Windows 버전을 위한 설치 미디어
향후 주요 클라이언트 및 서버 Windows 릴리스에서 설치 미디어는 2023 서명 부팅 이진 파일만 전달하고 2011 서명 부팅 이진 파일은 미디어에서 완전히 제거됩니다.
향후 릴리스에 대한 펌웨어 신뢰 요구 사항: Windows의 향후 주요 릴리스에는 펌웨어에 Windows UEFI CA 2023 인증서가 필요합니다. 허용된 서명 데이터베이스(DB)가 설치 미디어를 부팅하고 Windows 설정을 완료할 수 있습니다.
미디어 생성 및 대체 스크립트
다음 스크립트를 통해 다양한 하드웨어 세대에 걸친 미디어 관리가 지원됩니다.
하위 수준 미디어 업데이트: 기본적으로 2011 부트로더로 설정되는 기존 설치 미디어의 경우 Make2023BootableMedia.ps1를 사용하여 미디어를 2023 부트로더의 기본값으로 업데이트합니다. 전체 스크립트 매개 변수 및 다운로드 지침은 PCA2023 서명된 부팅 관리자를 사용하도록 Windows 부팅 가능 미디어 업데이트를 참조하세요.
이전 펌웨어용 미디어 되돌리기 스크립트: 2023년 인증서에 대한 OEM 업데이트를 기다리는 펌웨어가 있는 시스템에 미디어를 배포할 때 언급된 미디어 복귀 스크립트는 고정된 2011 부트로더를 사용하여 부팅하도록 미디어를 구성할 수 있습니다.
질문과 대답
부트로더를 업데이트하면 BitLocker 복구가 트리거되나요?
Windows 서비스는 업데이트 중에 플랫폼 측정을 조정하기 위해 작동하지만 장치 보호기 구성, 펌웨어 동작 및 시스템 상태에 따라 예기치 않은 BitLocker 복구 프롬프트가 발생할 수 있습니다. 관리자와 장치 소유자는 월별 Windows 품질 업데이트를 비롯한 모든 부팅 체인, 펌웨어 또는 보안 부팅 업데이트를 적용하기 전에 BitLocker 복구 키가 안전하게 백업되었는지 확인해야 합니다.가상 컴퓨터는 Hyper-V, Azure 및 VMware에서 어떤 영향을 받나요?
2세대 Hyper-V VM은 표준 누적 Windows 업데이트를 통해 업데이트된 인증서를 받습니다. Azure 신뢰할 수 있는 시작 및 기밀 VM은 Azure 플랫폼 서비스를 통해 업데이트를 받습니다. VMware vSphere의 경우 ESXi 호스트 및 VM 하드웨어 버전이 게스트 UEFI 템플릿에 2023 인증서를 포함하는 릴리스로 업데이트되었는지 확인합니다. 자세한 내용은 Azure의 신뢰할 수 있는 시작 VM 및 기밀 VM을 참조하세요.디바이스가 2023 인증서를 받지 못하면 어떻게 되나요?
장치는 고정된 2011 서명된 부트로더를 사용하여 계속 부팅되지만 향후 부팅 수준 취약성이 발견되면 새 부팅 로더 보안 픽스를 받지 못합니다. 또한 Windows의 향후 주요 릴리스에는 허용된 서명 데이터베이스(DB)의 2023 인증서가 필요하며, 설치 미디어는 인증서가 없는 장치에서의 설치를 차단합니다.
관련 링크
로그 변경
| 날짜 변경 | 설명 변경 |
|---|---|
| 2026년 10월 22일 | 2026년 10월 19일 Windows Production PCA 2011 만료, 부트로더 동결, 향후 설치 미디어 업데이트, 애플리케이션 제어 영향 및 대체 변환 도구를 다루는 초기 간행물입니다. |