Hacker News 2026.04.11 48

WireGuard 윈도우 새 버전 출시 — Microsoft 서명 문제는 어떻게 해결됐을까

무슨 일이 있었나요?

VPN 기술 중에서 가장 현대적이고 깔끔하다고 평가받는 WireGuard가 윈도우용 새 릴리스를 발표했어요. 그런데 이번 릴리스가 특별한 이유는 단순한 기능 업데이트가 아니라, Microsoft의 드라이버 서명(signing) 정책과 관련된 꽤 복잡한 문제를 해결한 뒤에 나온 버전이기 때문이에요.

잠깐 배경을 설명하자면, 윈도우에서 커널 수준 드라이버를 설치하려면 Microsoft의 공식 서명을 받아야 해요. 이게 뭐냐면, Microsoft가 "이 드라이버는 안전하다"고 도장을 찍어주는 과정인데요. 이 서명 없이는 일반 사용자의 PC에서 드라이버가 로드되지 않거든요. WireGuard는 네트워크 터널링을 위해 커널 드라이버를 사용하는데, 바로 이 서명 과정에서 문제가 생겼던 거예요.

서명 문제의 기술적 배경

WireGuard 윈도우 클라이언트는 Wintun이라는 가상 네트워크 어댑터 드라이버를 사용해요. 이 드라이버가 네트워크 패킷을 WireGuard 터널로 주고받는 핵심 역할을 하는데, 커널 모드에서 동작하기 때문에 반드시 Microsoft의 WHQL(Windows Hardware Quality Labs) 인증 서명 또는 Attestation 서명을 받아야 해요.

문제는 Microsoft의 서명 인프라가 변경되면서 기존 서명 방식으로는 새 빌드를 제출하거나 승인받는 데 어려움이 생겼다는 거예요. 드라이버 서명 포털의 정책 변경, 인증서 요구사항 변화, 또는 자동화된 빌드 파이프라인과의 호환성 문제 등이 복합적으로 작용했을 가능성이 커요. 오픈소스 프로젝트 입장에서는 대기업처럼 전담 팀이 서명 프로세스를 관리하기 어렵기 때문에 이런 문제가 더 크게 다가오는 거죠.

WireGuard가 왜 중요한 기술인가

WireGuard를 아직 잘 모르는 분을 위해 간단히 소개하면, 전통적인 VPN 프로토콜인 OpenVPN이나 IPsec에 비해 코드베이스가 극단적으로 작아요. 리눅스 커널 구현체가 약 4,000줄 정도인데, IPsec이 수만 줄에 달하는 걸 생각하면 엄청난 차이죠. 코드가 적다는 건 보안 감사(audit)가 쉽고, 버그가 숨을 곳이 적다는 뜻이에요.

성능 면에서도 WireGuard는 현대적인 암호화 기법(ChaCha20, Curve25519 등)을 사용하면서도 커널 수준에서 동작하기 때문에 처리 속도가 빨라요. 특히 모바일 환경에서 네트워크가 Wi-Fi에서 셀룰러로 전환될 때도 연결이 끊기지 않는 로밍 기능이 있어서 실사용 경험이 굉장히 좋아요.

윈도우 생태계에서의 커널 드라이버 서명, 왜 이렇게 까다로울까

이 이슈의 근본적인 원인은 Microsoft가 보안을 강화하면서 서명 요구사항을 계속 높이고 있다는 데 있어요. 2016년 Windows 10 Anniversary Update부터는 새로운 커널 드라이버에 EV(Extended Validation) 인증서 기반 서명이 필수가 됐고, 이후에도 Attestation 서명에서 WHQL 서명으로의 전환, Secure Boot 정책 변경 등이 이어졌어요.

이런 변화는 보안 관점에서는 바람직하지만, 오픈소스 프로젝트나 소규모 개발사에게는 상당한 부담이에요. EV 인증서 자체가 비용이 들고, 서명 프로세스가 자동화하기 어려운 경우도 많거든요. 실제로 다른 오픈소스 프로젝트들도 비슷한 문제를 겪은 적이 있어요. VirtualBox, 각종 USB 장치 드라이버 프로젝트 등이 서명 정책 변경 때마다 한 차례씩 진통을 겪곤 했죠.

경쟁 기술과의 비교

VPN 시장에서 WireGuard의 위치를 보면, 이미 대부분의 상용 VPN 서비스(Mullvad, NordVPN, Surfshark 등)가 WireGuard를 기본 프로토콜로 채택하고 있어요. Tailscale이나 Netbird 같은 메쉬 VPN 솔루션도 내부적으로 WireGuard를 사용하고요. 특히 Tailscale은 WireGuard 위에 NAT 통과, 자동 키 관리, ACL 등을 얹어서 기업 환경에서 쓰기 편하게 만든 서비스인데, 한국에서도 스타트업을 중심으로 도입이 늘고 있어요.

리눅스에서는 WireGuard가 5.6 커널부터 메인라인에 포함되어 있어서 별도 설치 없이 바로 쓸 수 있고, macOS에서도 앱이 잘 동작하는 편이에요. 그래서 윈도우 쪽 서명 문제가 유독 눈에 띄었던 거예요. 다른 플랫폼에서는 문제없이 업데이트되는데 윈도우만 막혀 있으면 개발자 입장에서 상당히 불편하니까요.

한국 개발자에게 주는 시사점

우선 WireGuard를 아직 써보지 않은 분이라면 이번 기회에 한번 세팅해보시는 걸 추천해요. 개인 서버에 WireGuard를 올려두면 카페나 공용 Wi-Fi에서 안전하게 개발 서버에 접속할 수 있고, 집과 회사 네트워크를 하나로 묶는 것도 가능해요. 설정 파일이 정말 간단해서, OpenVPN 설정에 고생해본 분이라면 감동받을 정도예요.

윈도우 환경에서 커널 드라이버를 다루는 프로젝트를 하고 있다면, 이번 사례는 좋은 교훈이에요. Microsoft의 서명 정책은 앞으로도 계속 변할 수 있기 때문에 CI/CD 파이프라인에서 드라이버 서명을 자동화해두는 게 중요하고, 정책 변경에 대한 모니터링도 필요해요. 또 EV 인증서 갱신 주기도 미리 챙겨두는 게 좋고요.