윈도우 365 링크와 '지난번을 잊은' 봉인 전략: 씬 클라이언트 보안의 재점검

마이크로소프트가 내놓은 윈도우 365 링크(Windows 365 Link)는 겉보기에 작은 데스크톱 미니 PC지만, 실제로는 특별판 윈도우 11을 얹은 씬 클라이언트다. 이 기기는 오직 클라우드에 존재하는 '윈도우 365 클라우드 PC'에만 접속하도록 설계됐다. 로컬에서 일반적인 애플리케이션을 돌리거나 데이터를 저장하는 용도로는 쓸 수 없고, 클라우드 세션이라는 목적을 벗어나면 사실상 기능이 없는 상자에 가깝다. 최근 유럽의 해커 캠프 EMF 2026에서 공개된 'They Forgot What Happened Last Time'이라는 발표는 바로 이 기기의 폐쇄적 설계를 뜯어보며, 마이크로소프트가 과거에 겪은 실패를 반복하고 있다는 문제의식을 던진다.

'설계부터 안전하다'는 약속의 구조

마이크로소프트는 이 기기를 발표하면서 '설계부터 안전한(secure-by-design) 아키텍처'라는 표현을 앞세웠다. 구체적으로는 사용자에게 관리자 권한을 주지 않고, 기기에 로컬 데이터를 남기지 않으며, EFI 시큐어 부트를 켠 상태로 잠그고, 비트로커(BitLocker) 디스크 암호화를 항상 활성화한다는 것이다. 실무자 관점에서 이 조합은 낯설지 않다. 관리 부담과 데이터 유출 위험을 단말이 아니라 클라우드로 옮기고, 단말 자체는 최대한 열지 못하게 봉인하는 전형적인 제로 트러스트·씬 클라이언트 전략이기 때문이다. 분실이나 도난 시 로컬에 남은 것이 없으니 위험이 줄어든다는 논리도 성립한다.

문제는 이런 봉인이 보안인 동시에 강력한 벤더 종속(lock-in) 장치라는 점이다. 기기가 특정 클라우드 서비스에만 붙도록 묶여 있으면, 구독을 유지하는 동안에만 쓸모가 있고 서비스가 끝나면 재활용이 어려운 전자 폐기물이 된다. 발표자가 이 기기를 두고 '그 외에는 쓸모없는 전자쓰레기'라고 냉소한 대목은, 보안 명분과 종속 전략이 같은 설계에서 나온다는 점을 꼬집은 것이다.

윈도우 RT의 기억

발표의 핵심 논지는 제목 그대로 '지난번에 무슨 일이 있었는지 잊었다'는 것이다. 발표자에 따르면 EFI 시큐어 부트를 이렇게 잠가 둔 마지막 사례는 윈도우 RT 기기였다. 윈도우 RT는 ARM 기반으로, 마이크로소프트가 서명하지 않은 운영체제나 부트로더의 실행을 막아 사용자가 기기를 자유롭게 다루지 못하게 한 대표적 폐쇄 플랫폼이었다. 발표자는 당시 이 잠금 때문에 윈도우 부트로더의 신뢰 체인을 개인적으로, 그것도 여러 차례 깨뜨린 경험이 있다고 밝힌다. 다시 말해 시큐어 부트를 켜서 잠그는 것만으로 기기가 난공불락이 되지는 않았으며, 오히려 그 봉인이 연구자에게 도전 과제가 됐다는 이야기다.

이 대목은 하드웨어에 얹은 부팅 신뢰 체인이 결국 구현의 문제라는 오래된 교훈을 상기시킨다. 시큐어 부트는 설계 원리상 서명 검증을 강제하지만, 펌웨어·부트로더·서명 정책 어느 한 곳의 허점이 전체 체인을 무너뜨릴 수 있다. 과거 윈도우 RT가 그랬듯, 잠금이 강할수록 우회에 성공했을 때의 파급도 커진다.

한국 실무자에게 남는 시사점

한국의 IT 담당자에게 이 발표는 단순한 해킹 무용담 이상의 함의를 준다. 클라우드 PC와 씬 클라이언트를 도입할 때 '봉인된 단말 = 안전한 단말'이라는 등식을 그대로 받아들이기 어렵다는 점이다. 부팅 신뢰 체인은 방어의 한 층일 뿐이며, 실제 보안은 클라우드 세션의 인증, 네트워크 격리, 관리 정책 등 여러 층의 합으로 결정된다. 단말을 잠그는 설계가 곧 침해 불가능을 뜻하지는 않는다.

동시에 조달과 자산 관리 관점의 위험도 함께 봐야 한다. 특정 클라우드에만 붙는 기기는 그 구독과 운명을 같이하기 때문에, 서비스 종료나 정책 변경 시 재활용 여지가 좁고 폐기 비용과 전자 폐기물 부담으로 이어질 수 있다. 도입 검토 단계에서 라이프사이클과 종속성, 그리고 봉인이 뚫렸을 때의 대응 시나리오까지 함께 따져 보는 편이 현실적이다.

다만 이번 발표에서 확인할 수 있는 것은 어디까지나 기기의 설계 철학과 과거 사례와의 대비까지다. 공개된 요약만으로는 구체적으로 어떤 취약점을 통해 무엇을 우회했는지, 실제 익스플로잇이 성공했는지 등 세부 기술 내용을 단정하기 어렵다. 발표 영상 자체가 공개된 만큼, 실무 판단에 반영하려면 원 발표의 구체적 근거를 직접 확인하는 과정이 필요하다.