BIOS 업데이트, BitLocker 복구키 없이 해도 될까?
BIOS를 업데이트하려는데 BitLocker 복구키를 준비하라는 경고가 뜬다. 암호화를 켠 기억도 없는 PC에 왜 복구키가 필요한 걸까?
메인보드나 노트북의 BIOS를 업데이트하려는데 BitLocker 복구키를 준비하라는 메시지가 뜰 수 있다. 평소에는 비밀번호나 PIN으로 윈도우에 들어갔으므로, 처음 보는 48자리 숫자가 어디 있는지부터 막힌다. 이때 복구키를 찾아 두는 일과 업데이트 동안 보호를 일시 중단하는 일은 각각 다른 역할을 한다. 키는 잠겼을 때 드라이브를 다시 여는 수단이고, 일시 중단은 부팅 환경이 바뀌는 업데이트를 진행하도록 돕는다.
아직 윈도우가 정상으로 열린다면 현재 상태를 조회하고 키를 백업할 기회가 있다. 이미 복구 화면에서 멈췄다면 다른 기기로 저장된 키를 찾는 순서로 넘어간다. 어느 경우든 Microsoft 계정의 빈 목록 하나만 보고 암호화 여부를 결론 내리면 안 된다. 실제 WindowsHelp의 이용자 질문도 “계정에 키가 없으면 BIOS·CPU 변경 뒤 키를 요구하지 않는가”라는 상황에서 시작했다.
Windows Home도 암호화 상태부터 본다
BitLocker는 드라이브의 데이터를 암호화해, 컴퓨터에서 저장장치를 떼어 다른 장치에 연결해도 내용을 바로 읽을 수 없게 하는 기능이다. 윈도우는 정상적인 부팅 환경에서 자동으로 암호화 드라이브를 연다. 하드웨어·펌웨어·소프트웨어 변경 때문에 자동으로 열 수 없게 되면 소유자가 복구키를 입력하도록 요구할 수 있다. Microsoft의 BitLocker 개요가 설명하는 복구 요청의 배경이다.
사용자가 직접 BitLocker를 켠 기억이 없어도 암호화는 켜져 있을 수 있다. 지원되는 PC의 ‘장치 암호화’는 Microsoft 계정이나 회사·학교 계정으로 처음 설정할 때 자동으로 켜지고, 복구키를 그 계정에 연결한다. Windows Home에도 이 기능이 있다. Pro·Enterprise·Education에서 사용하는 전체 BitLocker 드라이브 암호화 관리 기능과 메뉴가 같지는 않다. 로컬 계정으로 설정한 경우에는 장치 암호화가 자동으로 켜지지 않는다고 공식 장치 암호화 문서는 설명한다.
Windows 11에서는 관리자 계정으로 설정의 ‘개인 정보 및 보안 → 장치 암호화’를 연다. 이 항목은 표준 사용자로 로그인했거나 장치 암호화를 지원하지 않는 기기에서 보이지 않을 수 있다. Pro 계열에서는 시작 메뉴에서 BitLocker 관리를 검색해 드라이브별 상태를 볼 수 있다.
화면에서 상태를 분명히 알기 어렵다면 관리자 권한의 터미널이나 명령 프롬프트에서 아래 조회 명령을 쓸 수 있다. C:는 확인할 윈도우 드라이브를 뜻한다. 이 명령은 암호화 설정을 바꾸지 않고 현재 상태를 표시한다.
manage-bde -status C:출력의 암호화 비율·변환 상태와 보호 상태를 함께 읽는다. 암호화가 완료된 드라이브도 보호만 일시 중단돼 있을 수 있으므로, ‘보호 해제’ 표시를 곧바로 ‘파일이 암호화되지 않음’으로 해석하지 않는다. Microsoft의 status 명령 문서는 암호화 비율, 보호 상태, 잠금 상태를 서로 다른 항목으로 제공한다.
48자리 복구키와 키 ID는 쓰는 곳이 다르다
복구 화면에 입력하는 값은 48자리 숫자로 된 복구키다. 윈도우 로그인 PIN이나 Microsoft 계정 비밀번호를 이 칸에 넣는 방식이 아니다. 화면에 함께 나오는 ‘복구키 ID’는 여러 저장된 키 중 어떤 키를 사용할지 찾는 식별자다. Microsoft는 복구 화면의 ID 앞 8자리를 기록해 저장된 키 목록과 맞추도록 안내한다.
| 정보 | 하는 일 | 사용 위치 |
|---|---|---|
| 48자리 복구키 | 암호화 드라이브의 잠금을 푼다. | PC의 BitLocker 복구 화면에 입력한다. |
| 복구키 ID | 목록에 있는 여러 키 중 해당 키를 식별한다. | 계정·출력물·저장 파일의 ID와 대조한다. |
| Microsoft 계정 로그인 정보 | 온라인에 보관한 키 목록에 접근한다. | 다른 기기의 계정 로그인 화면에 사용한다. |
이름이 비슷한 PC가 여러 대 있거나 같은 기기에 키가 여러 개 보이면 장치 이름만 보고 고르지 않는다. 현재 복구 화면의 ID와 일치하는 항목을 찾고, 그 항목에 붙은 48자리 키를 입력한다. 키 ID는 복구키를 대신하는 비밀번호도 아니고, ID만으로 새 복구키를 계산해 내는 번호도 아니다. 공식 복구키 찾기 절차가 ID 대조를 첫 단계로 둔 이유다.
윈도우가 열릴 때 키를 다른 곳에 보관하기
먼저 다른 휴대전화나 컴퓨터에서 Microsoft 계정의 복구키 페이지를 연다. PC를 설정할 때 쓴 계정으로 로그인해 해당 장치의 키가 실제로 나타나는지 본다. 지금 쓰는 PC에서 로그인된 화면만 보는 것보다, PC가 잠겨도 접근할 수 있는 경로를 마련하는 데 도움이 된다. 키가 이미 계정에 있다면 파일이나 인쇄물로 추가 사본을 보관할 수 있다.
BitLocker 관리 화면이 있는 PC는 시작 메뉴에서 ‘BitLocker 관리’를 열고 대상 드라이브 옆의 ‘복구 키 백업’을 선택한다. 저장 위치로 Microsoft 계정, USB 드라이브, 파일, 인쇄 중 제공되는 항목을 고르고 완료한다. 회사·학교 관리 PC는 개인 계정 대신 조직 계정으로 저장하는 항목이 표시되거나 조직 정책이 적용될 수 있다. Microsoft의 백업 안내에 있는 절차다.
Home처럼 전체 BitLocker 관리 화면이 없는 경우에도 먼저 계정의 보관 키를 조회할 수 있다. 계정에 키가 없고 윈도우는 정상적으로 열리는 상태라면, 관리자 터미널에서 아래 명령으로 현재 드라이브의 키 보호자 정보를 조회할 수 있다. 숫자 암호 항목에 48자리 값이 표시되면 ID와 함께 안전한 별도 위치에 보관한다.
manage-bde -protectors -get C:protectors의 -get 옵션은 현재 보호 방법과 ID를 조회한다. 접근 거부가 나오면 관리자 권한으로 실행했는지부터 본다. 조회 결과에 키가 없거나 조직 정책으로 볼 수 없다면, 이 명령이 잃어버린 키를 새로 만들어 주는 것은 아니다. 회사 PC는 IT 담당자의 보관 키를 확인하고, 개인 PC는 설치 당시 계정이나 기존 백업을 더 찾은 뒤 업데이트를 진행한다.
복구키 파일은 그 키가 필요한 암호화 드라이브 안에만 두면 잠겼을 때 읽을 수 없다. 백업 메뉴도 암호화된 드라이브에 키 파일을 저장하지 못하게 한다. USB나 인쇄물은 PC와 떨어진 안전한 곳에 보관한다. PC와 키를 함께 분실하면 키를 가진 사람이 암호화를 풀 수 있기 때문이다. 조회 화면에는 실제 복구키가 나올 수 있으므로, 도움을 요청할 때 화면 전체를 공개 게시물에 올리지 않는다.
키 백업과 문서 백업도 서로 대신하지 않는다. 복구키는 암호화된 데이터를 여는 데 쓰이고, 문서 사본은 원본 저장장치가 고장 났거나 초기화됐을 때 다시 가져오는 데 쓰인다. BIOS 업데이트를 준비하며 키를 확보했더라도, 작업 중인 중요한 문서의 별도 사본이 만들어진 것은 아니다.
보호 일시 중단으로 업데이트하고 다시 보호하기
보호 일시 중단은 드라이브 전체를 복호화하는 작업보다 범위가 작다. 파일은 암호화된 형태로 남지만, 업데이트 동안 접근할 수 있도록 보호되지 않은 키가 드라이브에 저장된다. 따라서 일시 중단 중에도 평소와 같은 오프라인 보호가 유지된다고 보면 안 된다. 업데이트를 마친 뒤 보호를 재개하면 변경된 부팅 환경에 맞춰 키 보호가 다시 적용된다. Microsoft BitLocker FAQ에 이 동작과 복호화의 차이가 설명돼 있다.
모든 업데이트 앞에서 같은 조작이 필요한 것은 아니다. Microsoft의 일반적인 품질·기능 업데이트는 BitLocker에 대해 별도 사용자 조치를 요구하지 않는다. 반면 제조사 도구나 수동으로 수행하는 BIOS·TPM·부팅 구성 변경은 업데이트 방법과 장치 조건에 따라 일시 중단이 필요하다. 설치할 펌웨어의 제조사 안내가 일시 중단을 요구하면, 키를 확보한 뒤 그 절차를 적용한다.
- BitLocker 드라이브 암호화 관리 화면에서 윈도우 드라이브의 ‘보호 일시 중단’을 선택하고 확인한다.
- 해당 모델의 제조사 절차에 따라 BIOS 업데이트와 필요한 재시작을 완료한다.
- 윈도우에 돌아오면 같은 관리 화면에서 ‘보호 다시 시작’을 선택한다.
- 드라이브 상태에서 보호가 다시 켜졌는지 확인한다. 화면이 모호하면 status 조회 명령으로 보호 상태를 본다.
Dell의 BIOS 업데이트 안내도 일시 중단, BIOS 설치, 보호 재개 순서로 설명한다. 이 절차를 쓰기 위해 BitLocker 서비스를 중지하거나 TPM을 초기화할 필요는 없다. 제조사 문서에 특정 모델·구형 BIOS를 위한 다른 해결법이 함께 있더라도, 그것을 모든 PC의 기본 작업으로 확대하지 않는다.
관리 화면을 사용할 수 없는 PC에서는 관리자 터미널의 manage-bde로 보호를 일시 중단할 수 있다. 앞의 조회에서 암호화 상태와 복구키를 확보했고 제조사 절차가 일시 중단을 요구하는 경우, 다음 명령은 C:의 보호를 수동 재개 전까지 중단한다. 조직이 관리하는 PC에는 IT 담당자가 정한 업데이트 절차를 적용한다.
manage-bde -protectors -disable C: -rebootcount 0업데이트와 필요한 재시작을 마치면 다음 명령으로 보호를 재개한 뒤 status로 상태를 조회한다. Microsoft의 protectors 문서에서 -disable은 보호자 삭제 없이 일시 중단하고, -enable은 드라이브에 둔 보호되지 않은 키를 제거해 보호를 다시 적용하는 옵션이다.
manage-bde -protectors -enable C:
manage-bde -status C:BitLocker PowerShell 명령을 지원하는 환경에서는 다음 명령을 대신 사용할 수 있다. 아래 PowerShell 방식과 앞의 manage-bde 방식 중 하나를 사용하며, 같은 작업을 두 방식으로 반복할 필요는 없다.
Suspend-BitLocker -MountPoint "C:" -RebootCount 0여기서 0은 한 번 재시작하면 끝난다는 뜻이 아니다. 수동으로 재개할 때까지 일시 중단을 유지한다. 여러 번 재시작하는 업데이트가 끝나 윈도우에 정상 진입한 뒤에는 다음 명령으로 보호를 다시 켠다.
Resume-BitLocker -MountPoint "C:"두 명령의 의미는 Microsoft의 일시 중단·재개 문서에 명시돼 있다. 제조사 도구가 자동으로 일시 중단하거나 다른 재시작 횟수를 사용하는 경우도 있다. 완료 뒤 관리자 터미널에서 manage-bde -status C:를 실행해 ‘보호 상태’가 켜짐인지 확인한다. 일시 중단해 둔 사실을 잊은 채 일상 사용으로 돌아가면 보호가 풀린 상태가 이어질 수 있다.
이미 복구 화면이라면 저장된 키부터 찾는다
이미 잠긴 PC에서는 윈도우 안의 백업 메뉴나 일시 중단 명령을 먼저 실행할 수 없다. 화면의 키 ID 앞 8자리를 적고 다른 기기로 개인 계정의 키 목록을 연다. Windows 11 24H2부터는 복구 화면에 키와 연결된 Microsoft 계정의 힌트도 나타날 수 있다. 평소 쓰는 계정에 없다면 이 힌트와 PC를 처음 설정한 사람의 계정을 함께 확인한다.
회사·학교 계정으로 로그인한 적이 있는 장치는 조직 계정에 키가 보관됐을 수 있다. 회사·학교 복구키 조회에 해당 계정으로 들어가 Devices에서 장치를 펼치고 BitLocker 키 보기 항목을 찾는다. 조직 설정에 따라 사용자가 직접 볼 수 없으면 IT 담당자가 조회해야 한다. 개인 Microsoft 계정의 빈 목록이 조직의 보관 여부까지 보여 주지는 않는다.
온라인에서 찾지 못했다면 처음 암호화를 켤 때 인쇄한 종이나 USB에 저장한 파일을 찾는다. USB에 일반 텍스트 파일로 저장했다면 다른 컴퓨터에서 열어 ID와 48자리 숫자를 확인한다. 일치하는 키를 입력해 윈도우에 들어간 뒤에도 재시작할 때마다 복구를 반복한다면, 제조사에 적용한 BIOS 버전과 발생 시점을 알려 부팅 환경을 점검할 수 있다. 키를 입력하는 행위 자체가 원인이 된 펌웨어 문제까지 수정하지는 않는다.
Microsoft 지원은 잃어버린 복구키를 조회하거나 새로 재현해 줄 수 없다고 명시한다. 키를 찾지 못하고 복구를 요구하게 만든 변경도 되돌릴 수 없다면 공식 복구 절차의 다음 수단은 장치 초기화이며, 이 경우 파일이 삭제된다. 파일을 보존해야 한다면 초기화를 복구키 찾기의 첫 단계로 선택할 수는 없다. 먼저 보관 계정·조직·출력물·USB를 모두 확인해야 남아 있는 파일에 다시 접근할 기회를 지킬 수 있다.