BitLocker는 윈도우11에 내장된 드라이브 암호화 기능으로, SSD나 HDD에 저장된 데이터를 AES 알고리즘으로 암호화해 물리적 탈취로부터 보호합니다.
많은 사용자가 직접 설정한 적 없는데도 PC를 켤 때 복구키를 요구받거나, 중고 거래 후 새 주인이 복구키 오류에 맞닥뜨리는 경우가 있습니다.
이는 윈도우11 Home 버전부터 TPM 칩이 있는 기기에서 장치 암호화가 자동으로 활성화되기 때문입니다. BitLocker가 어떤 원리로 동작하고, 복구키가 왜 생기는지 이해하면 갑작스러운 잠금 상황에서도 당황하지 않고 대처할 수 있습니다.
목차
BitLocker는 어떻게 드라이브를 암호화할까
BitLocker는 드라이브 전체를 AES(Advanced Encryption Standard) 알고리즘으로 암호화합니다.
윈도우11 기준 기본 암호화 강도는 XTS-AES 128비트이며, 그룹 정책에서 256비트로 변경할 수 있습니다. AES 128비트는 현재 기술로는 해독이 사실상 불가능한 수준으로, 슈퍼컴퓨터를 동원해도 수백억 년이 걸립니다.
암호화가 적용된 드라이브는 올바른 키 없이는 데이터를 읽을 수 없습니다. 윈도우가 정상 부팅된 상태에서는 TPM 칩이 자동으로 복호화 키를 제공해 사용자가 암호화를 의식하지 않고 PC를 사용할 수 있습니다. 반면 드라이브를 분리해 다른 PC에 연결하거나, 시스템 구성이 변경되면 TPM이 키 제공을 거부하고 48자리 복구키를 요구합니다.
TPM이 뭔지, BitLocker와 어떤 관계인지
TPM(Trusted Platform Module)은 메인보드에 내장된 보안 칩입니다. 인텔 플랫폼에서는 PTT(Platform Trust Technology), AMD 플랫폼에서는 fTPM(firmware TPM)이라는 이름으로 제공되며, 윈도우11 설치 요구 사항에 TPM 2.0이 포함된 이유도 이 때문입니다.
TPM은 BitLocker의 암호화 키를 안전하게 보관하고, 부팅 환경이 신뢰할 수 있는 상태인지 검증합니다. PC가 정상적으로 부팅될 때마다 TPM은 BIOS 설정, 부트 파티션, 시스템 파일의 상태를 측정해 이전 부팅과 동일한지 확인합니다. 이 과정에서 값이 달라지면 TPM은 키 제공을 차단하고 BitLocker가 복구키를 요구하는 상태로 전환됩니다.
왜 직접 설정하지 않았는데 BitLocker가 켜져 있을까
윈도우11은 다음 조건이 모두 충족되면 설치 과정에서 장치 암호화를 자동으로 활성화합니다.
- TPM 2.0이 활성화된 기기
- Microsoft 계정으로 로그인한 상태
- 모던 스탠바이(Modern Standby) 또는 Connected Standby 지원 기기
- UEFI 펌웨어 및 시큐어 부트 활성화 상태
위 조건을 모두 갖춘 노트북이나 최신 데스크톱은 사용자가 아무 설정을 하지 않아도 첫 로그인 후 백그라운드에서 암호화가 진행됩니다. 설정 앱 → 개인 정보 및 보안 → 장치 암호화에서 현재 활성화 여부를 확인할 수 있습니다.
복구키는 왜 생기고 언제 필요할까
BitLocker가 활성화될 때 48자리 숫자로 구성된 복구키가 자동으로 생성됩니다. Microsoft 계정으로 로그인한 상태에서 암호화가 활성화되면 복구키는 자동으로 Microsoft 계정에 저장됩니다. 로컬 계정으로 설정한 경우 파일 저장 또는 USB 저장을 직접 선택해야 합니다.
복구키가 필요한 상황은 TPM이 부팅 환경 변화를 감지했을 때입니다. 대표적인 트리거는 다음과 같습니다.
- 윈도우 또는 BIOS 펌웨어 업데이트 → 부팅 측정값 변경
- 시큐어 부트 설정 변경 → TPM 검증 실패
- 메인보드 또는 TPM 칩 교체 → 저장된 키 불일치
- 드라이브를 다른 PC에 연결 → TPM 없는 환경에서 복호화 불가
- 여러 번의 로그인 실패 → BitLocker 보안 잠금 트리거
복구키를 찾는 방법과 잠금 해제 절차는 Windows 11 BitLocker 복구키 찾기 및 해제 방법에서 확인할 수 있습니다.
BitLocker를 끄면 성능이 좋아질까
BitLocker 암호화는 CPU의 AES-NI 명령어를 사용해 하드웨어 가속으로 처리됩니다. 인텔 Core 6세대 이후, AMD Ryzen 1세대 이후 CPU는 모두 AES-NI를 지원하므로 일반적인 사용 환경에서 성능 차이는 측정하기 어려운 수준(1~3%)입니다. 다만 오래된 CPU나 저사양 기기에서는 암호화·복호화 처리 부하가 체감될 수 있습니다.
BitLocker를 해제하면 드라이브 복호화 작업이 백그라운드에서 진행되며, 드라이브 용량에 따라 수십 분에서 수 시간이 걸릴 수 있습니다. 해제 방법은 윈도우11 BitLocker 장치 암호화 설정 및 해제 방법에서 단계별로 확인할 수 있습니다.
주의사항
복구키를 분실하면 데이터를 복구할 방법이 없습니다. AES 128비트 암호화는 복구키 없이 해독이 불가능하므로, 포맷 외에 선택지가 없습니다. Microsoft 계정에 복구키가 저장되어 있는지 미리 확인해두는 것이 중요합니다.
중고 PC를 구매한 경우 전 소유자의 Microsoft 계정에 복구키가 연결되어 있을 수 있습니다. 중고 거래 후 BitLocker 복구키를 요구받는다면 전 소유자에게 연락하거나, BitLocker를 해제한 뒤 PC를 양도받는 방식을 권장합니다.
마치며
BitLocker는 TPM 칩을 기반으로 드라이브 전체를 AES로 암호화하는 윈도우11 내장 보안 기능입니다. TPM 2.0과 Microsoft 계정 조건이 갖춰진 기기에서는 자동으로 활성화되며, BIOS 업데이트나 하드웨어 변경처럼 부팅 환경이 달라지면 TPM이 복구키를 요구합니다.
복구키는 Microsoft 계정에 자동 저장되므로 account.microsoft.com/devices/recoverykey에서 미리 확인해두고, 분실하지 않도록 별도 보관하는 것이 가장 중요합니다.
