시큐어부트 인증서 만료 확인, Windows 보안 화면 점검 경로와 대응법

시큐어부트 인증서 만료 확인 경로와 점검법을 정리합니다. Windows 보안 장치 보안 화면 확인 위치와 아직 2011 인증서일 때의 대응 순서를 살펴보세요.

이미지 출처 : Microsoft

Windows 환경에서 시스템 보안의 첫 관문을 담당하는 Secure Boot(보안 부팅) 인증서 교체 작업이 진행되고 있습니다. 기존에 널리 사용되던 2011년 발급 인증서의 유효 기간이 다가옴에 따라 새로운 인증서로 전환하는 단계입니다. 가장 먼저 짚고 넘어가야 할 사실은 인증서 만료 시점이 도래하더라도 PC 부팅이 중단되거나 시스템이 멈추는 일은 발생하지 않는다는 점입니다. Microsoft의 KB5127648 안내에 따르면 새 인증서가 아직 적용되지 않은 PC라 하더라도 정상적인 부팅과 일상적인 Windows 보안 및 품질 업데이트는 변함없이 지원됩니다.

불필요한 혼란을 피하기 위해서는 내 PC가 현재 새로운 인증서 체계로 전환되었는지, 그리고 여전히 이전 신뢰 구성을 사용 중이라면 어떤 조치를 취해야 하는지 정확한 경로를 통해 파악하는 것이 중요합니다.

시큐어부트 인증서 만료 일정과 시스템 영향

Secure Boot는 컴퓨터에 전원이 들어온 직후 운영체제가 완전히 로드되기 전까지 실행되는 부트로더 및 시스템 구성 요소의 디지털 서명을 검증하는 UEFI 보안 기술입니다. 악성 코드가 운영체제 시작 단계에 침투하는 것을 차단하는 핵심 방어선 역할을 합니다.

이 신뢰 체계의 기반이 되는 일부 Microsoft 인증서가 발급 후 약 15년의 내구 연한을 맞이하면서 순차적인 교체가 이루어지고 있습니다. 외부 IT 전문 매체인 Pureinfotech의 정리에 따르면, 세부 인증서별 만료 일정은 다음과 같이 파악됩니다.

• Microsoft Corporation KEK CA 2011: 2026년 6월 24일 만료
• Microsoft UEFI CA 2011 및 Option ROM UEFI CA 2011: 2026년 6월 27일 만료
• Microsoft Windows Production PCA 2011: 2026년 10월 19일 만료

위 일정은 외부 매체 기준의 데이터이며, 해당 날짜가 지났다고 해서 컴퓨터가 켜지지 않는 고장이 일어나는 것은 아닙니다. 다만 최신 인증서로 전환되지 않은 시스템은 향후 배포되는 신규 부트 관리자 보안 패치나 취약 부트로더 차단 목록(DBX) 등 진화하는 보안 위협에 대한 방어 업데이트를 적용받는 데 일정한 제약이 따를 수 있습니다.

Windows 보안 화면에서 인증서 상태 확인 경로

내 컴퓨터가 새로운 인증서를 수신했는지는 Windows 내장 보안 센터에서 확인할 수 있습니다. 별도의 서드파티 프로그램을 설치할 필요 없이 기본 메뉴를 통해 상태 조회가 가능합니다.

확인 순서는 다음과 같습니다.

1. 화면 하단 시작 버튼을 누르고 Windows 보안을 검색하여 실행합니다.
2. 좌측 메뉴 또는 기본 대시보드 화면에서 장치 보안(영문 환경의 경우 Device security) 항목을 선택합니다.
3. 장치 보안 세부 화면 내에 위치한 보안 부팅(Secure Boot) 섹션을 확인합니다.

여기서 한 가지 유의할 점은 표시되는 아이콘 색상만으로 판단해서는 안 된다는 것입니다. 녹색 체크 표시가 떠 있더라도 이는 Secure Boot 기능 자체가 켜져 있다는 뜻일 수 있으므로, 하단에 표기된 상태 안내 문구를 함께 읽어야 합니다. '필요한 인증서 업데이트가 모두 적용됨' 취지의 문구가 표시된다면 최신 신뢰 체계로의 전환이 완료된 상태입니다.

다만 해당 세부 상태를 표시하는 사용자 인터페이스(UI)는 Windows 업데이트를 통해 단계적으로 배포되고 있어, PC 환경이나 업데이트 버전에 따라 아직 세부 인증서 상태 표시 항목이 보이지 않을 수 있습니다. 한국어 인터페이스 명칭 역시 업데이트 배포 상황에 따라 일부 상이할 수 있습니다.

메뉴가 없거나 직접 점검을 원할 때의 파워셸 확인법

Windows 보안 앱에 세부 상태 문구가 나타나지 않는다면 관리자 권한의 PowerShell(파워셸) 콘솔을 통해 직접 확인할 수 있습니다. 명령어를 활용하면 현재 메인보드 UEFI 데이터베이스에 2023 신규 인증서가 등록되어 있는지 직관적으로 파악됩니다.

우선 Secure Boot 활성화 여부를 확인하기 위해 다음 명령어를 입력합니다.

Confirm-SecureBootUEFI

결과값이 True로 나와야 보안 부팅이 정상 작동하는 상태입니다. 만약 False가 반환된다면 기능이 꺼져 있는 것이므로, 인증서 업데이트를 정상적으로 수신하기 위해 메인보드 설정에서 보안 부팅을 먼저 켜야 합니다. Secure Boot가 비활성화되어 있는 환경에서는 관련 보안 업데이트가 전달되지 않습니다.

Secure Boot가 True인 것을 확인했다면, 다음 명령어로 신규 2023 인증서 등록 여부를 점검합니다.

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

• True 반환: Secure Boot 데이터베이스(db)에 2023 신규 인증서가 정상적으로 추가된 상태입니다.
• False 반환: 아직 시스템 데이터베이스에 신규 인증서가 반영되지 않았음을 의미합니다.

아직 2011 인증서 상태라면 어떻게 해야 하는가

파워셸 점검 결과가 False로 나타나거나 Windows 보안 화면에 이전 신뢰 구성을 사용 중이라는 취지의 문구가 나온다고 해서 즉각적인 이상이 생긴 것은 아닙니다. Microsoft는 시스템 호환성과 안정성을 고려하여 순차 배포 방식을 취하고 있습니다.

사용자가 취해야 할 올바른 대응 절차는 다음과 같습니다.

⚙️ 무리한 레지스트리나 UEFI 데이터베이스 수정 지양

온라인에 떠도는 검증되지 않은 수동 스크립트를 적용하거나 UEFI 데이터베이스를 임의로 초기화·수정하는 작업은 시스템 부팅 불일치 등의 부작용을 부를 수 있습니다. 일반적인 개인용 PC 환경에서는 Windows Update를 통한 자동 반영이 표준 경로입니다.

⚙️ 정기적인 Windows 업데이트 설치 및 재부팅

운영체제 설정의 Windows 업데이트 메뉴로 이동하여 제공되는 최신 누적 업데이트(KB5127648 등)를 모두 내려받고 PC를 완전히 재부팅합니다. 순차 배포 대상에 포함되면 업데이트 설치 및 재시작 과정에서 신규 신뢰 체계가 데이터베이스에 자동 주입됩니다.

⚙️ 장기간 미적용 시 제조사 공식 지원 안내 확인

보안 부팅이 정상적으로 켜져 있고 최신 누적 업데이트를 지속해서 유지함에도 불구하고 장기간 신규 인증서가 반영되지 않거나 펌웨어 제한 관련 안내가 표시된다면, PC 및 메인보드 제조사의 공식 기술 지원 페이지를 확인해야 합니다. 하드웨어 환경에 따라 제조사에서 배포하는 최신 BIOS/UEFI 펌웨어 설치가 선행되어야 신규 인증서가 온전히 기록되는 기종이 존재할 수 있기 때문입니다.

보안 부팅 인증서 교체는 오랜 기간 사용된 낡은 신뢰 키를 최신 표준으로 갱신하는 정상적인 유지보수 과정입니다. PC 부팅 차단과 같은 극단적인 문제는 없으므로, 현재 상태를 정확히 진단하고 안내되는 절차에 맞춰 차분하게 업데이트를 유지하는 것이 권장됩니다.

자주 묻는 질문