![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/ko_KR/52d714626638d3391623c853be0c593b.png)
Apple T2 보안 칩이 탑재된 Mac의 시동 보안 유틸리티
개요
Apple T2 보안 칩이 탑재된 Intel 기반 Mac의 경우 시동 보안 유틸리티가 다수의 보안 정책 설정을 처리합니다. 이 유틸리티에 접근하려면 복구용 OS로 시동하고 유틸리티 메뉴에서 시동 보안 유틸리티를 선택합니다. 이 유틸리티는 지원되는 보안 설정을 보호하여 공격자가 쉽게 조작하지 못하도록 합니다.
![‘보안 시동’ 섹션 아래의 세 개의 보안 옵션 및 ‘허용된 시동 미디어’ 아래의 두 개의 보안 옵션 펌웨어 다음에 있는 암호 보호에 대한 메모를 표시하는 시동 보안 유틸리티 메인 윈도우.](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/ko_KR/117019f66c268cfcf151144a21024618.png)
중요한 정책을 변경하려면 복구 모드에서도 인증이 필요합니다. 시동 보안 유틸리티를 처음 열면 현재 시동된 복구용 OS와 연결된 기본 macOS 설치에서 관리자 암호를 입력하라는 메시지가 사용자에게 표시됩니다. 관리자가 없는 경우, 관리자를 생성한 다음 정책을 변경할 수 있습니다. T2 칩은 Mac 컴퓨터가 현재 복구용 OS로 시동할 것과, 이러한 정책 변경을 적용하기 전에 Secure Enclave가 지원하는 자격 증명을 사용하여 인증할 것을 요구합니다. 보안 정책을 변경하려면 복구용 OS에 필요한 다음 두 가지 절대적 조건이 지켜져야 합니다.
다른 기기의 파티션에는 내장 저장 장치에 연결된 Secure Enclave가 지원하는 자격 증명이 없기 때문에, macOS 복구가 T2 칩에 직접 연결된 저장 장치에서 시동되어야 합니다.
macOS 복구를 APFS 기반 볼륨에 보관해야 하며, 이는 드라이브의 ‘Preboot’ APFS 볼륨에 있는 Secure Enclave로 전송된 ‘복구에서 인증’ 자격 증명을 저장만 할 수 있는 기능이 지원되기 때문입니다. HFS 플러스 포맷의 볼륨은 보안 시동을 사용할 수 없습니다.
이 정책은 T2 칩이 탑재된 Intel 기반 Mac 컴퓨터의 시동 보안 유틸리티에만 표시됩니다. 대부분의 활용 사례에서는 보안 시동 정책 변경을 요구해서는 안 되지만, 근본적으로 사용자는 기기 설정을 제어할 수 있으며 필요에 따라 Mac에서 보안 시동 기능을 비활성화하거나 다운그레이드할 수 있습니다.
이 앱 내에서 변경되는 보안 시동 정책은 Intel 프로세서에서 검증하는 신뢰 체인 평가에만 적용됩니다. ‘T2 칩의 보안 시동’ 옵션은 항상 유효합니다.
보안 시동 정책은 완전 보안, 중간 보안 및 보안 없음의 세 가지 설정으로 구성할 수 있습니다. 보안 없음 설정은 Intel 프로세서에서 보안 시동 평가를 완전히 비활성화하고 사용자가 원하는 대로 시동할 수 있도록 합니다.
완전 보안 시동 정책
완전 보안은 기본 시동 정책이며 iOS 및 iPadOS 또는 Apple Silicon이 탑재된 Mac의 완전 보안과 유사하게 작동합니다. 소프트웨어를 다운로드하고 설치할 준비가 되었을 때 서명 요청의 일부로서 T2 칩에 특정된 고유 ID인 ECID(Exclusive Chip Identification)가 포함된 서명으로 개인 맞춤화됩니다. 서명 서버에서 돌려주는 해당 서명은 고유하며 특정 T2 칩에서만 사용할 수 있습니다. UEFi(Unified Extensible Firmware Interface) 펌웨어는 완전 보안 정책이 적용되면 지정된 서명이 Apple에서 서명했을 뿐 아니라 특정 Mac에 대해서도 서명되어 결국 해당 버전의 macOS를 해당하는 Mac에 연결하도록 합니다. 이렇게 하면 Apple Silicon이 탑재된 Mac의 완전 보안에 대해 설명된 대로 롤백 공격을 방지할 수 있습니다.
중간 보안 시동 정책
중간 보안 시동 정책은 공급업체에서 제공한 코드임을 밝히기 위해 공급업체(이 경우 Apple)가 코드에 대한 디지털 서명을 생성하는 기존 UEFI 보안 시동과 다소 유사합니다. 이러한 방식으로 공격자가 서명되지 않은 코드를 삽입하는 것을 방지합니다. 이 서명은 현재 중간 보안 정책이 설정되어 있는 Mac 컴퓨터에 대해 모든 Mac에서 언제든지 사용할 수 있기 때문에, 이를 ‘전역’ 서명이라고 부릅니다. iOS, iPadOS, T2 칩 모두 전역 서명을 자체 지원하지 않습니다. 이 설정은 롤백 공격 방지를 시도하지 않습니다.
미디어 시동 정책
미디어 시동 정책은 T2 칩이 탑재된 Intel 기반 Mac 컴퓨터에만 존재하며 보안 시동 정책과는 독립적입니다. 따라서 이 정책으로 인해 사용자가 보안 시동을 비활성화하더라도 Mac을 시동하기 위해 T2 칩에 직접 연결된 저장 장치가 아닌 다른 장치에서의 시동을 방지하는 기본 동작이 변경되지는 않습니다. (미디어 시동 정책은 Apple Silicon이 탑재된 Mac에서 필요하지 않습니다. 자세한 내용은 시동 디스크 보안 정책 제어를 참조하십시오.)