EV CodeSign으로 서명한 프로그램이 Smart App Control에 차단되어 설치할 수 없습니다.

Question

제목에서 보신 것 처럼 자사 S/W 개발 후 EV CodeSign을 통해 서명 후 배포하고 있으나

Windows 11 신규 설치 고객에게서 Smart App Control에서 차단되어 설치가 안된다는 메시지를 받았습니다.

DigiCert에서 EV CodeSign인 것을 확인 하였습니다.

여기저기 인터넷 검색 결과를 보면 기존 화이트리스트에서 평판시스템으로 완전히 변경되어 이제는 EV CodeSign이라 할지라도 차단될 수 있다는 내용도 있고 다양한 말들이 많은데

정확히 이 시스템이 어떻게 동작하는 것인가요? 그럼 이제 앞으로 생기는 신규 S/W들은 고객 PC에 설치가 불가능 한 것인가요?

또한 서명 정보를 보면 e-mail을 기입하지 않고 있는데 이것이 SAC의 평판에 영향을 줄 수 있는것인가요?

사용자가 SAC를 끄지 않고 신규 Windows 11고객이 새로운 S/W(당연히 EV CodeSign 된)를 설치할 수 있는 방법은 무엇인가요?

Answer 1

이 답변은 번역되었습니다. 그 결과 이상한 표현이나 문법 오류가 발생할 수 있습니다.

안녕하세요 성오, 마이크로소프트 Q&A 포럼에 오신 것을 환영합니다.

• 스마트 앱 제어 개요
• 스마트 앱 컨트롤 준수를 위해 앱에 서명하세요
• Smart App Control으로 앱 서명을 테스트해 보세요

현재 공식 마이크로소프트 소스를 기준으로, 여러분의 4가지 질문을 어떻게 해결할 수 있는지 알려드립니다:

1. Windows 11의 스마트 앱 제어(SAC)는 마이크로소프트의 클라우드 안전성 예측과 지원되는 디지털 서명의 존재 여부 두 가지 요소를 바탕으로 앱 실행 가능 여부를 결정합니다. 클라우드가 앱을 안전하다고 확신할 수 없을 경우, SAC는 서명이 유효하고 SAC가 지원하는 알고리즘을 사용할 때만 허용합니다. 현재 SAC는 ECC 서명을 지원하지 않기 때문에, ECC를 사용하는 EV 인증서도 서명되지 않은 것으로 간주됩니다. 이 때문에 EV 서명만으로는 앱이 SAC 하에서 실행된다는 보장이 없으며, 특히 신규 또는 평판이 낮은 앱의 경우 더욱 그렇습니다.
2. 새로운 설치 프로그램은 SAC 지원 장치에 설치할 수 있지만, 특정 조건을 충족해야 합니다. 설치에 관련된 모든 바이너리—주요 설치 프로그램, 자식 프로세스, 임시 파일, 언인스톨러 포함—는 RSA 또는 Azure Trusted Signing을 통해 적절히 서명되어야 합니다. 평판도 중요한 역할을 합니다; 새로운 앱은 마이크로소프트의 클라우드 인텔리전스가 안전한 설치를 통해 충분한 신뢰를 쌓을 때까지 차단될 수 있습니다.
3. 서명에 누락된 이메일 정보가 SAC 결정에 영향을 미친다는 공식적인 징후는 없습니다. SAC는 이메일 필드와 같은 메타데이터가 아니라 서명의 유효성과 평판에 의존합니다.
4. 고객이 SAC를 끄지 않고 소프트웨어를 설치할 수 있도록 하려면, 개발자는 ECC 대신 RSA 또는 Azure Trusted Signing을 사용하고, 설치 프로그램이 사용하는 모든 아티팩트에 서명하며, 출시 전에 깨끗한 Windows 11 시스템에서 SAC 감사 모드로 앱을 테스트해야 합니다. 평판이 문제라면 Microsoft에 파일을 제출하면 신뢰를 가속화할 수 있습니다. 고객은 평판이 형성되면 설치하거나 필요 시 일시적으로 SAC를 비활성화할 수 있습니다. 오늘날 SAC를 비활성화하려면 재설치가 필요하지만, 마이크로소프트는 향후 Windows Insider 빌드에서 재설치 없이도 SAC를 끄고 켤 수 있는 토글을 도입할 예정입니다.

---

답변이 도움이 된다면 **"답변 수락"을 클릭하고 ** 친절 하게 추천해 주세요 . 이 답변에 대해 추가 질문이 있으시면 "댓글"을 클릭해 주세요.  

참고: 이 스레드와 관련된 이메일 알림을 받으시려면 문서 내 절차를 따라 이메일 알림을 활성화해 주시기 바랍니다.