[커머셜 PC] Windows Secure Boot 인증서 업데이트 공지

섹션 1. 배경

Microsoft는 2026년부터 Windows 시스템에서 사용되는 "Secure Boot" 인증서를 점진적으로 교체할 계획입니다. Secure Boot 인증서는 부팅 과정에서 부트킷과 같은 악성 소프트웨어가 로더를 삽입하는 것을 방지하여 부팅 환경의 무결성을 보장하도록 설계되었습니다.

현재 사용 중인 인증서인 "Microsoft Corporation KEK CA 2011" 및 "Microsoft Windows Production PCA 2011"은 만료 시점에 가까워지고 있습니다. 인증서를 "Microsoft Corporation KEK 2K CA 2023" 및 "Windows UEFI CA 2023"으로 업데이트하지 않으면, 장치는 Windows Boot Manager 및 기타 중요한 보안 구성 요소의 업데이트를 더 이상 받을 수 없습니다.

기업용 PC가 계속해서 secure boot 보호와 지속적인 시스템 업데이트를 받을 수 있도록, 아래 안내를 따라 기기의 상태를 확인해 주시기 바랍니다.

 

섹션 2. 내 기기가 영향을 받습니까? [Microsoft Corporation KEK 2K CA 2023 / Windows UEFI CA 2023]

2.1 영향 없음 [신규 인증서 기본 지원]

2024년 이후 출고되는 모든 비즈니스 PC 및 앞으로 출시될 모든 신형 모델에는 신규 Secure Boot 인증서가 사전 통합되어 있습니다. 별도의 수동 업데이트가 필요하지 않습니다.

노트북 (NB): 아래 모델 및 2024년 이후 출시되는 모든 시리즈.

모델명
BM3406CGA
BM3606CGA
PM5406CGA
PM5606CGA
BM3406CHA
BM3606CHA
PM3406CHA
PM3606CHA
PM3406CKAZ
PM3406CKA
PM3606CKA
PM1403CDA
PM1503CDA
B5405CCA
B3405CCA
B5605CCA
B3605CCA
P3405CVA
P3605CVA
B5605CVA
B3605CVA
B5405CVA
B3405CVA
BR1204FTA
BR1204CTA
BR1104FTA
BR1104CTA
B1403CTA
B1503CTA
B3402FVA
BM1403CDA
BM1503CDA
B1403CVA
B1503CVA
P1403CVA
P1503CVA
P5405CSA

 

데스크탑: 다음 모델 및 2024년 이후 출시된 모든 시리즈.

모델명
P500SV
V500SV
PM700MK
PM700SK
D900MF
D900SF
T701MF
D700MF
T500MV
P500MV
D700MER
D700ME
X500MA
D701MER
S701TER
D901MDR
D500TER
D700TER
D901SDR
S501MER
PD500TE
G15DS
D800MDR
G16CH
G13CH
S501ME
D500TE
D700TE
G35CA
D900MD
D500SD
D500MD
D700MD
D500TD
D700TD
G15CF
D900MC
D500SC
D700SC
D500TC
D700TC
PD500TC
G10CE
G35CG
GA35DX
D700SF
V500MV
D501MER
D701SER
D501SER
T501MV
D900MDR
D800SDR
D900SDR
S502ME
S502MER
D500MER
D500SER
D700SER
D900SC
D900SD
G35DX
S501MC
S502MD
S500TD
S501MD
S500TC
S500MC
S700SC
D700MC
S500MD
S500SC
S500SD
D701TC
D700SD
D500SE
D500ME
D700SE

 

올인원 (AIO): 다음 모델과 2024년 이후에 출시된 모든 시리즈.

모델명
PM640KA
PM670KA

 

2.2 업데이트가 필요한 모델

만약 귀하의 모델이 위에 나열되어 있지 않다면, 해당 기기는 현재 이전 인증서를 사용 중이며 업데이트가 필요함을 의미합니다.

 

업데이트는 어떻게 받나요?

영향을 받는 모델의 경우, ASUS에서 새로운 인증서 제출을 완료했습니다. 이 업데이트는 Microsoft를 통해 Windows Update로 자동 배포됩니다.

 

권장 조치: 설정 > Windows Update로 이동하여 자동 업데이트가 활성화되어 있는지 확인하십시오.

자동 설치: 시스템이 최신 보안 인증서를 자동으로 다운로드 및 설치합니다—수동 도구나 다운로드는 필요하지 않습니다.

 

섹션 3. Microsoft 서드파티 Secure Boot 인증서: 기능 및 필요성

이 섹션은 Microsoft 서드파티 Secure Boot 인증서에 대해 설명합니다. 만약 귀하의 기기가 비-Windows 환경(예: 리눅스)이나 서드파티 하드웨어(예: 외장 GPU)를 실행해야 한다면, 아래 내용을 참고하시기 바랍니다.

3.1 Microsoft 서드파티 인증서 개요

기존 인증서업데이트된 인증서설명
Microsoft Corporation UEFI CA 2011Microsoft UEFI CA 2023

이것은 [부팅 과정 중] 선택적으로 사용되는 인증서로, Windows 환경 외부에서 실행되는 서드파티 애플리케이션 또는 운영 체제 (예: Linux)를 서명하는 데 사용됩니다.

이러한 사용 사례가 해당되지 않는 경우에는 필요하지 않습니다.

Microsoft Option ROM UEFI CA 2023이것은 [부팅 과정 중] 선택적으로 사용되는 인증서로, 외부 하드웨어의 Option ROMs를 서명하는 데 사용됩니다.   
서드파티 하드웨어 (예: 외부 GPU)가 시스템 부팅 과정에서 필수적이지 않다면, 이 인증서는 해당되지 않습니다.

 

3.2 Microsoft 서드파티 인증서가 필요한 경우, 다음 안내를 참고하십시오

참고: 상업용 컴퓨터에서 Windows BitLocker가 활성화되어 있는 경우, Secure Boot 작업을 수행하기 전에 아래 지침에 따라 BitLocker를 미리 일시 중지해 주시기 바랍니다.

 

섹션 4. BIOS 인증서 상태 확인 및 업데이트 결정

2026년에 출고된 장치에는 이미 이러한 인증서가 포함되어 있습니다. BIOS 설정에 진입(시작 시 F2를 누름)하여 타사 인증서 옵션을 확인하거나 구성할 수 있습니다.

 

또한, [섹션 8.3]을 참고하여 3rd party 인증서가 존재하는지 확인할 수 있습니다. 만약 포함되어 있지 않다면 BIOS를 최신 버전으로 업데이트하고 섹션 5. SOP 1: Secure Boot 인증서 업데이트를 따라 진행하세요.

 

필요한 3rd party 인증서가 여전히 나타나지 않는 경우, 섹션 6. SOP 2: Secure Boot 인증서 추가로 진행해 주세요.

 

Secure Boot 키를 초기화한 후 boot 과정에서 다음 화면이 나타나는 경우, 섹션 7. SOP 3: Secure Boot 인증서 복원을 따라 진행해 주세요.

 

참고 자료

  1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
  2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

 

섹션 5. SOP 1: 보안 부트 인증서 업데이트

작업 전 참고 사항:

  1. 수동 업데이트 과정 중 발생할 수 있는 데이터 손실을 방지하기 위해 모든 컴퓨터 데이터를 사전에 백업하는 것을 강력히 권장합니다.
  2. BitLocker가 활성화되어 있는 경우, 아래 단계를 진행하기 전에 반드시 BitLocker를 일시 중지해주시기 바랍니다. 절차가 완료되면 BitLocker를 다시 활성화할 수 있습니다.
  3. BitLocker를 일시 중지하지 않을 경우 잠금 상태가 발생할 수 있습니다. BitLocker가 암호화된 Windows 드라이브를 자동으로 해제하지 못하는 경우 복구 키가 필요합니다. 이 키는 하드 드라이브에 다시 접근할 수 있도록 하는 48자리 숫자로 된 코드입니다. 아래 안내된 절차가 익숙하지 않으시다면, 저희에게 문의해 주시기 바랍니다.

BitLocker 복구 키를 복구해야 하는 경우, 다음 기사에서 참고해 주세요: BitLocker 복구 키를 복구하는 방법.

 

절차 단계

  1. 시스템의 전원을 켜거나 재시작한 후, F2 키를 눌러 BIOS 설정에 진입하세요.   
    F7 키를 눌러 고급 모드로 전환한 다음, Security > Secure Boot(또는 바로 Security > Secure Boot)로 이동하세요.   
  2. Key Management를 선택하세요.   
  3. Authorized Signatures (db)를 선택하세요.   
  4. Update를 선택하세요.   
  5. Yes를 선택하세요.   
      
    Note: “예”를 선택하면 해당 인증서가 공장 초기값으로 복원됩니다. 시스템이나 사용자가 이전에 추가한 모든 인증서는 제거됩니다.
  6. 세부 정보를 선택하여 Authorized Signatures (db) 인증서가 성공적으로 업데이트되었는지 확인합니다.   
  7. F10을 눌러 저장 및 종료합니다.
  8. BitLocker가 이전에 일시 중지되었다면, 다시 활성화되어 있는지 확인하십시오.

 

섹션 6. SOP 2: Secure Boot 인증서 추가
6.1 Microsoft UEFI CA 2023 추가
  1. Microsoft UEFI CA 2023을 다운로드합니다: https://go.microsoft.com/fwlink/?linkid=2239872 그리고 USB 드라이브의 루트 디렉터리에 저장하세요 (예: “D:\microsoft uefi ca 2023.crt”).
  2. 시스템을 켜거나 재시작한 후, F2를 눌러 BIOS 설정으로 진입합니다.   
    F7을 눌러 고급 모드로 전환한 후, Security > Secure Boot (또는 바로 Security > Secure Boot)로 이동합니다.   
  3. Key Management를 선택하세요.   
  4. Authorized Signatures (db)를 선택하세요.   
  5. Append를 선택하세요.   
  6. No를 선택하세요.   
  7. USB Drive를 선택하세요.   
  8. 루트 디렉터리에서 파일을 찾아 선택하세요: “microsoft uefi ca 2023.crt”.
  9. Public Key Certificate를 선택한 후, GUID 확인 화면에서 Enter를 누르세요.   
  10. Yes를 선택하세요.   
  11. Microsoft UEFI CA 2023이(가) Authorized Signatures (db)에 나열되어 있는지 확인하세요.   F10을 눌러 저장하고 종료하세요.BitLocker(가) 이전에 일시 중지된 경우, 반드시 다시 활성화해 주세요. 6.2 Microsoft Option ROM UEFI CA 2023 추가Microsoft Option ROM UEFI CA 2023 다운로드: https://go.microsoft.com/fwlink/?linkid=2284009 에 접속하여 다운로드하고, USB 드라이브의 루트 디렉터리(예: “D:\microsoft option rom uefi ca 2023.crt”)에 저장하세요.시스템의 전원을 켜거나 재시작한 다음, F2를 눌러 BIOS 설정에 진입하세요. F7을 눌러 Advanced Mode로 전환한 후, Security > Secure Boot(또는 바로 Security > Secure Boot)로 이동하세요. Key Management를 선택하세요. Authorized Signatures (db)를 선택하세요.
  12. Append(추가)를 선택하세요.   
  13. No(아니오)를 선택하세요.   
  14. USB Drive(USB 드라이브)를 선택하세요.
  15. 루트 디렉토리에 저장된 파일을 찾아 선택하세요: “microsoft option rom uefi ca 2023.crt”.
  16. Public Key Certificate(공개 키 인증서)를 선택한 다음, GUID 확인 화면에서 Enter(엔터)를 누르세요.   
  17. Yes(예)를 선택하세요.   
  18. Microsoft Option ROM UEFI CA 2023이(가) 이제 Authorized Signatures (db)(승인된 서명 (db)) 아래에 나열되어 있는지 확인하세요.   
  19. F10을 눌러 Save & Exit(저장 및 종료)하세요.
  20. BitLocker가 이전에 일시 중지된 경우, 다시 활성화되었는지 확인하세요.

 

7장. SOP 3: Secure Boot 인증서 복원
  1. Windows UEFI CA 2023 다운로드: https://go.microsoft.com/fwlink/?linkid=2239776 에서 다운로드하여 USB 드라이브의 루트 디렉터리에 저장하세요 (예: “D:\windows uefi ca 2023.crt”).
  2. 시스템의 전원을 켜거나 재시작한 후, F2를 눌러 BIOS 설정으로 들어가세요.   
    F7을 눌러 고급 모드로 전환한 후, Security > Secure Boot(또는 바로 Security > Secure Boot)로 이동하세요.   
  3. Key Management를 선택하세요.   
  4. Authorized Signatures (db)를 선택하세요.   
  5. Append를 선택하세요.   
  6. No를 선택하세요.   
  7. USB 드라이브를 선택하세요.
  8. 루트 디렉터리에 저장된 파일을 찾아 선택하세요: “windows uefi ca 2023.crt”.
  9. 공개 키 인증서를 선택한 후, GUID 확인 화면에서 Enter 키를 누르세요.   
  10. 예(Yes)를 선택하세요.   
  11. Authorized Signatures (db) [승인된 서명(db)] 항목에 Windows UEFI CA 2023이 이제 목록에 추가되었는지 확인하세요.   
  12. F10을 눌러 저장 및 종료하세요.
  13. BitLocker가 활성화되어 있다면, BitLocker 복구 키를 미리 준비해 두시기 바랍니다.

 

섹션 8. PowerShell 인증서 검증 방법

UEFI Secure Boot 키 상태를 확인하는 방법은? 다음 절차는 Windows BitLocker의 상태에 영향을 주지 않습니다.

8.1 사전 단계

Windows 검색창에 PowerShell을 입력하세요.

검색 결과에서 Windows PowerShell을 마우스 오른쪽 버튼으로 클릭하고 [관리자 권한으로 실행]을 선택하세요.

 

8.2 Microsoft Windows Secure Boot 인증서 검증

  1. Key Exchange Key (KEK)에 “Microsoft Corporation KEK 2K CA 2023”이 포함되어 있는지 확인합니다.  
    실행: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
    결과가 True이면 "Microsoft Corporation KEK 2K CA 2023" 인증서가 존재함을 나타냅니다.  
  2. Signature Databases (DB)에 "Windows UEFI CA 2023"이 포함되어 있는지 확인합니다.  
    실행: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
    결과가 True이면 "Windows UEFI CA 2023" 인증서가 존재함을 나타냅니다.  

 

8.3 Microsoft 3rd Party Secure Boot 인증서 검증

  1. Signature Databases (DB)에 "Microsoft UEFI CA 2023"이 포함되어 있는지 확인합니다.  
    실행: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
    결과가 True이면 "Microsoft UEFI CA 2023" 인증서가 존재함을 나타냅니다.  
  2. Signature Databases (DB)에 "Microsoft Option ROM UEFI CA 2023"이 포함되어 있는지 확인하십시오.  
    실행: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023'  
    결과가 True이면 "Microsoft Option ROM UEFI CA 2023" 인증서가 존재함을 의미합니다.