BitLocker 복구 키를 요구할 때, 업데이트·TPM·부팅 변경을 나누는 법
AI를 활용하여 생성한 이미지입니다.
Windows 11을 켰는데 BitLocker 복구 키를 요구하면 먼저 키를 찾는 일과 원인을 좁히는 일을 나눠야 해요. 복구 화면은 암호화가 깨졌다는 뜻이 아니라, 평소의 자동 잠금 해제 조건과 현재 부팅 환경이 달라졌다는 신호에 가깝습니다. Microsoft는 BitLocker를 관리할 때 제어판, PowerShell 모듈, 드라이브 암호화 도구를 구분해 안내하고 있어요.[1]
복구 키부터 확보해야 하는 이유
복구 키를 찾기 전에는 TPM을 초기화하거나 BitLocker를 해제하지 마세요. Microsoft 계정, 회사의 Entra ID 또는 Active Directory에 복구 정보가 저장되는 구성이라면 해당 계정과 장치 이름을 먼저 확인해야 합니다. 조직 PC라면 관리자에게 복구 키 ID의 앞부분을 알려 정확한 키를 대조받는 편이 안전해요.[2]
| 증상 | 먼저 의심할 변화 | 피할 행동 |
|---|---|---|
| 펌웨어·TPM 업데이트 뒤 요구 | 부팅 측정값과 보안 설정 변화 | TPM 지우기 |
| 부팅 순서 변경 뒤 요구 | UEFI·외부 부팅 장치·Secure Boot 상태 | 복구 키를 모른 채 설정 반복 |
| 키를 넣어도 다시 요구 | 부팅 환경이 계속 달라지는지 | BitLocker를 곧바로 해제 |
업데이트 전에는 보호를 잠시 중지해요
BIOS·UEFI·TPM 펌웨어를 바꾸거나 운영체제 밖의 부팅 구성에 손을 대기 전에는 BitLocker 보호를 일시 중지하는 편이 낫습니다. 이때 드라이브의 데이터 암호화 자체를 없애는 것이 아니라, 다음 부팅에서 복구가 불필요하게 발생하지 않도록 보호자 정보를 잠시 조정하는 방식이에요.[1]
PowerShell에서는 관리자 권한으로 다음처럼 현재 운영체제 볼륨의 상태를 확인할 수 있어요.
Get-BitLockerVolume -MountPoint C:
Suspend-BitLocker -MountPoint C: -RebootCount 1
Resume-BitLocker -MountPoint C:
-RebootCount를 생략하면 환경에 따라 다음 재부팅 뒤 보호가 다시 켜지는 기본 동작이 적용될 수 있으므로, 업데이트가 한 번의 재시작으로 끝나는지 여러 번 필요한지 확인하세요. Microsoft의 PowerShell 문서도 일시 중지 후 재개할 수 있고, 재부팅 횟수를 지정할 수 있다고 설명합니다.[3] 명령을 실행하기 전에 복구 키가 실제로 보관되어 있는지 확인하는 것이 먼저예요.
복구 키를 넣은 뒤 점검할 항목
- 복구 화면의 키 ID를 기록하고 계정이나 조직 관리 콘솔에서 같은 ID를 찾습니다.
- Windows에 들어간 뒤 이벤트와 최근 업데이트 시간을 확인합니다.
- BitLocker 상태와 보호자 상태를 확인하고, 보호가 꺼져 있다면 다시 재개합니다.
- UEFI의 부팅 순서와 Secure Boot 설정을 원래 의도한 값으로 되돌립니다.
- 같은 복구 화면이 반복되면 TPM을 지우지 말고 펌웨어·부팅 구성 변경을 한 항목씩 되돌립니다.
BitLocker 복구는 잠긴 드라이브에 다시 접근하는 절차이므로, 복구 키를 넣었다고 해서 원인이 해결된 것은 아니에요. Microsoft는 Entra ID나 Active Directory에 저장된 복구 정보를 확인하는 흐름과, 잠긴 드라이브에 접근을 복구하는 과정을 별도 문서로 나눠 설명합니다.[2]
보호를 해제하는 것과 일시 중지는 달라요
BitLocker를 완전히 해제하면 드라이브 복호화가 진행되지만, 일시 중지는 데이터를 암호화된 상태로 두면서 부팅 변경을 허용하는 선택입니다. 드라이버 설치나 펌웨어 업데이트 때문에 한 번 복구 키가 나온 상황이라면 전체 복호화보다 일시 중지·재개가 범위를 작게 유지해요.[1] 반대로 복구 키 자체가 없고 데이터 접근이 급한 상황이라도 TPM 초기화는 마지막 수단으로 남겨 두세요.
점검 체크리스트
- 복구 화면의 키 ID와 장치 이름 기록하기
- Microsoft 계정 또는 조직 관리 콘솔에서 복구 키 확인하기
- 펌웨어·UEFI 변경 전 BitLocker 보호 일시 중지하기
- 복구 후 BitLocker 상태와 보호 재개 여부 확인하기
- 반복 요구 시 TPM 초기화보다 최근 부팅 변경부터 되돌리기
Windows 가상화 환경의 네트워크가 함께 꼬였다면 Hyper-V 가상 스위치와 NAT·외부 네트워크를 나누는 기준도 이어서 확인해 보세요.
복구 키를 넣었는데 다시 묻는다면
한 번 키를 입력해 Windows에 들어간 뒤 같은 화면이 다시 나타나는 경우에는 키가 틀렸다고 단정하지 마세요. 먼저 복구 화면에 표시된 키 ID와 계정에 저장된 키 ID가 같은지 확인하고, 그다음 마지막으로 바꾼 부팅 항목을 하나씩 되돌려 보세요. UEFI에서 부팅 순서를 바꿨거나 외부 장치로 시작했거나 Secure Boot 상태가 달라졌다면 다음 부팅에서도 같은 검사가 반복될 수 있어요.[2]
업데이트 직후라면 Windows에 로그인한 뒤 보호 상태를 확인하고, 펌웨어 작업이 끝났을 때 보호를 다시 켜는 순서가 안전해요. 보호가 중지된 채로 오래 두면 장치가 평소와 다른 부팅 상태를 허용하므로, 작업이 끝난 뒤에는 Resume-BitLocker 결과를 확인해야 합니다.[3] 복구 키를 입력하는 것과 보호를 재개하는 것은 서로 다른 단계예요.
변경을 좁혀서 원인을 찾는 방법
- 복구 키 ID, 발생 시각, 직전에 한 변경을 메모합니다.
- 복구 키를 입력한 뒤 Windows와 보안 업데이트가 정상인지 확인합니다.
- UEFI에서 부팅 순서, Secure Boot, TPM 관련 변경을 한 번에 하나씩 확인합니다.
- 같은 변경을 되돌린 뒤 재부팅해 복구 화면이 사라지는지 봅니다.
- 원인을 찾지 못하면 TPM을 지우거나 드라이브를 복호화하지 말고 조직 관리자나 제조사 지원에 문의합니다.
이 순서의 장점은 문제가 생긴 지점을 추적할 수 있다는 데 있어요. 반대로 여러 설정을 한꺼번에 초기화하면 잠금 화면이 사라져도 어떤 변화가 원인이었는지 알 수 없고, 복구 키를 다시 요구할 때 같은 문제가 반복될 수 있습니다. 회사 장치라면 개인 계정에 저장된 키만 확인하지 말고 조직의 복구 정보까지 함께 대조하세요.[2]
비추천하는 해결법
복구 키를 모른 채 TPM을 지우는 방법은 선택하면 안 돼요. TPM을 초기화하면 저장된 보호 정보가 사라지고, 이후 복구 절차가 더 어려워질 수 있습니다. BitLocker를 완전히 끄는 것도 원인을 확인한 뒤 마지막에 판단할 일입니다. 일시 중지는 암호화를 유지한 채 한 번의 부팅 변경을 통과시키는 조치지만, 해제는 복호화 작업을 시작하는 별도 선택이기 때문이에요.[1] 데이터 접근이 급하다는 이유로 범위를 넓히면 보안 설정과 복구 가능성을 동시에 잃을 수 있습니다.
