Windows 11에서 SAC(Smart App Control)이 Spork.exe 실행 차단

[shininglone]

버그라 해야할지는 모르겠지만 Windows 11에서 추가된 SAC(Smart App Control)이
Spork.exe 실행을 강제로 차단하는 문제가 발생합니다.
이런 문제가 저한테만 한정된 것인지는 모르겠지만
샌드박스 내에서 SAC를 끄지도 못하는 상황이라 어떻게 해야할지 모르겠네요 ㅠㅠ

시스템 사양

• OS: Windows 11 (Ver. 25H2)
• CPU 아키텍처: AMD Ryzen 5600
• 브라우저: Chrome Or Edge Browser
• 소프트웨어 릴리스 버전: 1.14.0

참고 사항
문제에 관련된 다른 언급할 사항이 있으면 기재해주시면 감사하겠습니다.

[rkttu]

Windows 11부터 새롭게 추가된 Smart App Control은 코드 서명이 되지 않은 프로그램의 실행을 막도록 설계되어있습니다. 이런 정책과 동작 자체는 타당한 것이나, 현재 식탁보는 특별한 후원이나 경제적 지원 없이 운영되고 있는 프로그램이기에 코드 서명 인증서 구매가 어렵습니다. (코드 서명 인증서는 최근들어 비용이 급상승해서 1년에 최소 50~70만원 정도 비용을 지출해야 합니다.)

이 문제를 우회하기 위해서 SAC를 꺼야 한다고 말씀 드리는 것은 보안 상 리스크가 될 수 있기에 권장드릴 수는 없겠습니다. 다만 향후에 문제가 개선될 여지가 있고, 방법이 있다면 적극적으로 이 프로젝트에도 반영해보도록 하겠습니다.

이 사안과 관련하여 커뮤니티에서 다양한 방면으로 논의를 활성화하기 위한 노력을 진행 중에 있습니다.

제보 감사드립니다.

[rkttu]

관련 링크: https://forum.dotnetdev.kr/t/windows/14055
관련 Windows 피드백 허브 링크: https://aka.ms/AAystf1

[qb20nh]

Azure Trusted Signing 이 합리적 비용에 코드 사이닝을 제공하는 것 같습니다. Microsoft 신뢰할 수 있는 루트 인증서 프로그램에 포함된다고 합니다.
월 14,710.78원에 5,000개 서명 제공합니다.
다만 Azure의 타 클라우드 솔루션을 필수적으로 함께 사용하여야 할 수 있습니다. 이 부분은 확인이 필요해 보입니다.

사설

Smart App Control의 효과에 대해서 의문이 제기됩니다. 최근 진화하는 어택들은 점차 LotL 기반이라 단순히 실행 파일을 통제하는건 한계가 있습니다. 또한 꼭 필요한 레거시 바이너리 등에 대해 예외를 지정할 수 없다는 점도 사용성에 있어서 단점으로 부각됩니다. 대신 AppLocker를 사용하고 Defender의 제어된 폴더 액세스와 공격 표면 감소 규칙을 적용하는 것이 좋겠습니다.

[qb20nh]

@shininglone 아래 내용으로 샌드박스를 실행 시 샌드박스 내에서 sac가 비활성화 되는지 확인 부탁드립니다.

<Configuration>
  <LogonCommand>
    <Command>reg add "HKLM\SYSTEM\CurrentControlSet\Control\CI\Policy" /v VerifiedAndReputablePolicyState /t REG_DWORD /d 0 /f</Command>
  </LogonCommand>
</Configuration>

[rkttu]

Azure Trusted Signing 이 합리적 비용에 코드 사이닝을 제공하는 것 같습니다. Microsoft 신뢰할 수 있는 루트 인증서 프로그램에 포함된다고 합니다. 월 14,710.78원에 5,000개 서명 제공합니다. 다만 Azure의 타 클라우드 솔루션을 필수적으로 함께 사용하여야 할 수 있습니다. 이 부분은 확인이 필요해 보입니다.

---

저 역시 Smart Screen, Code Sign, 그리고 Windows 11의 Smart App Control (SAC) 문제에 관해서 정말 많은 시간과 노력을 들였지만, 국내 개발자로서 여전히 속 시원한 해결책을 찾지 못하고 있습니다.

• Azure Trusted Signing (ATS)의 지역적 한계:
  ATS는 획기적인 서비스이지만, 2025년 12월 현재까지도 여전히 미국, EU, 영국 지역 내 개인에게만 Public Trust 인증서 서명 자격을 부여하고 있는 상황입니다. ATS가 공식 출시(GA)된 2024년부터 지속적으로 상황을 모니터링하고 있지만, 대한민국까지 서비스가 언제 확장될지는 전혀 알 수 없습니다. 이 지역적 제약 때문에 개인 개발자로서 ATS를 활용할 수 없습니다.

• OSSIGN 검토 및 장기 과제화:
  ossign.org 서비스도 대안으로 검토해보려 합니다. 다만, 이 서비스 역시 현재 전 세계적으로 수요가 폭증하고 있어 당장 신청이 어려운 상태입니다. 또한, '식탁보 프로젝트'의 **지역적 특수성(대한민국 환경에 특화)**을 어필하고 설명하여 심사를 통과하는 것에 많은 난항이 예상되는 점이 있어, 이 역시 단기 해결책이 아닌 장기 과제로 봐야 할 것 같습니다.

• Microsoft Store 등록의 어려움:
  Microsoft Store에 식탁보 프로젝트를 등록 신청해보았으나, 심사 기준에 일관성이 없으며, 프로젝트가 "금융 관련 카테고리"로 판정되는 경우 등록이 제한되는 문제가 지속적으로 발생하고 있습니다. 이는 배포 채널 확보에 큰 장애물입니다.

🚨 결론: 국내 개인 개발자의 피할 수 없는 장벽

지금으로서는 대한민국 내에서 '식탁보 프로젝트'에 대한 코드 서명을 합법적으로 받기 위해서는:

1. 반드시 자연인이 아닌 개인 사업자 등록을 내야 하며,
2. 충분한 예산 확보 (EV 인증서까지 고려 시 연 150 ~ 200만 원)가 이루어져야 하는, 개인 개발자에게는 넘기 어려운 한계가 있습니다.

커뮤니티에서는 SAC나 Smart Screen을 끄고 사용하면 되지 않나 하는 의견도 있습니다만, 소프트웨어 개발자로서 사용자에게 보안 기능을 끄라고 공식적으로 가이드할 수는 없는 입장입니다.

이러한 현실적인 장벽으로 인하여, "식탁보 프로젝트"가 Windows 11 사용자에게 원활히 배포될 수 있도록 커뮤니티의 지혜와 도움이 절실한 상황입니다. "도움 필요 (Help Wanted)" 태그를 이 이슈에 달게 된 이유입니다.

[qb20nh]

답변 감사드립니다.
https://signpath.org/ 도 고려해주시기 바랍니다. 훨씬 작은 프로젝트들도 승인되어 있고 현재 신규 지원을 받는 것 같습니다.

[shininglone]

@qb20nh
음.. 바쁘실텐데 의견 감사드립니다!
주신 명령줄을 넣고.. 이것저것 시도하다가 재밌는 현상이 생기네요.

우선 수정한 명령줄은 다음과 같습니다.
<>

[Case 1.]
명령어부분 수정 후 바로 실행 > Spork.exe가 SAC에 차단되면서 아무런 반응 없음 > 끝.

[Case 2.]
명령어부분 수정 후 바로 실행 > Spork.exe는 차단되지 않지만, Verport, Delfino G3같은 보안프로그램들이 난대없이 SAC에
차단당하면서 정상적으로 페이지 사용 불가 (각각의 사이트 내에서 보안프로그램 설치파일을 받아도 같은 현상을 보임)

△ Case 1, 2는 각각 다른 샌드박스에서 실행하였으나 무슨 차이인지는 모르겠음

[Case 3.★]
명령어부분 수정 후 Sandbox 실행, 재부팅 > 정상 동작

(위 파일은 일부 프레임을 삭제한 부분이 있으니 참고바랍니다)

[shininglone]

<내용 추가>
해당 샌드박스를 종료하고 재실행하는 경우 똑같이 Sandbox 내에서 재부팅하는 과정 후에 정상 동작합니다

[rkttu]

답변 감사드립니다. https://signpath.org/ 도 고려해주시기 바랍니다. 훨씬 작은 프로젝트들도 승인되어 있고 현재 신규 지원을 받는 것 같습니다.

signpath도 신청했었습니다만, 당시 제가 받았던 최종 지원은 signpath 인프라를 통한 코드 서명 자동화 도구 서비스의 무료 사용이었지 실제 코드 서명 지원이 아니었습니다.

다만 이는 오래전의 일이라 최근 상황은 다시 검토해볼 필요는 있겠습니다만, 코드 서명을 대신해주는 재단의 입장에서 식탁보 같은 프로젝트에 서명을 내주는것이 쉽지 않을 수 있다고 생각합니다. (ms app store가 이 도구가 개인 정보를 다루기에 입점을 불허한것과 같은 부담을 공유할 수 있다고 보며, 이는 LOC 규모의 문제는 아닙니다.)

[qb20nh]

@rkttu 자세한 설명 감사드립니다. 결국 금전적 지원 없이는 어렵겠군요. 안타깝습니다.

@shininglone 샌드박스를 완전히 종료 후 재실행 시에도 정상 동작되는 것은 흥미롭습니다. 재부팅과 연관이 있다는 것은 해당 정책 적용 시점의 문제가 아닌가 싶습니다.

citool 을 사용하여 런타임 중 정책 적용 사항 변경이 가능한지 확인이 필요합니다.

새 샌드박스에서, reg add ...와 StartupScript.cmd 사이에 다음을 추가한 뒤 실행해주세요.

<Command>citool --refresh</Command>