간단한 해시는 임의의 데이터를 고정된 길이의 짧은 값으로 변환하는 가장 기본적인 방법입니다. 파일이 변조되지 않았는지 확인하거나, 비밀번호를 원문 그대로 저장하지 않기 위해 널리 쓰입니다. 이 글에서는 해시의 원리부터 대표적인 종류, 그리고 상황에 맞게 고르는 기준까지 실용적으로 정리했습니다.
해시가 정확히 무엇인가요
해시(Hash)는 입력값의 길이와 상관없이 항상 정해진 길이의 결과값을 만들어 내는 함수입니다. 예를 들어 한 글자를 넣든, 소설 한 권 분량의 텍스트를 넣든 결과값의 길이는 동일합니다. 이 결과값을 해시값 또는 다이제스트라고 부릅니다.
해시 함수에는 몇 가지 중요한 성질이 있습니다.
- 단방향성: 해시값만 보고 원래 입력값을 되돌릴 수 없습니다.
- 결정성: 같은 입력은 언제나 같은 해시값을 만듭니다.
- 눈사태 효과: 입력이 한 글자만 바뀌어도 결과값이 완전히 달라집니다.
- 충돌 저항성: 서로 다른 두 입력이 같은 해시값을 갖기 어렵습니다.
대표적인 해시 종류 5가지
실무에서 자주 마주치는 해시 알고리즘은 다음과 같습니다. 각각 출력 길이와 안전성, 용도가 다르므로 목적에 맞게 골라야 합니다.
| 알고리즘 | 출력 길이 | 안전성 | 주요 용도 |
|---|---|---|---|
| MD5 | 128비트 | 취약 | 단순 체크섬, 무결성 참고용 |
| SHA-1 | 160비트 | 취약 | 레거시 시스템 호환 |
| SHA-256 | 256비트 | 안전 | 파일 검증, 블록체인 |
| SHA-512 | 512비트 | 안전 | 고보안 데이터 검증 |
| bcrypt | 가변 | 안전(비밀번호용) | 비밀번호 저장 |
MD5와 SHA-1은 이미 충돌 공격이 실제로 성공한 사례가 있어 보안이 중요한 용도로는 권장되지 않습니다. 다만 네트워크로 받은 파일이 깨지지 않았는지 빠르게 확인하는 정도의 단순 체크섬으로는 여전히 쓰이기도 합니다.
간단한 해시를 실제로 만드는 방법
해시값을 직접 생성하는 방법은 환경에 따라 여러 가지가 있습니다. 가장 접근하기 쉬운 순서대로 소개합니다.
- 명령줄 도구: 리눅스나 macOS에서는
sha256sum 파일명또는shasum -a 256 파일명명령으로 즉시 해시값을 확인할 수 있습니다. 윈도우에서는certutil -hashfile 파일명 SHA256을 사용합니다. - 프로그래밍 언어 내장 함수: 파이썬은
hashlib, 자바스크립트는crypto모듈로 몇 줄이면 해시를 계산할 수 있습니다. - 웹 기반 도구: 설치 없이 브라우저에서 바로 문자열이나 파일의 해시값을 확인하고 싶을 때 유용합니다.
반복적으로 여러 문자열의 해시를 뽑아 비교하거나 즉석에서 값을 확인해야 할 때는 브라우저에서 바로 쓸 수 있는 해시 생성기를 활용하면 별도 환경 설정 없이 편리합니다.
해시를 쓸 때 흔히 하는 실수
해시는 개념이 단순해 보이지만, 잘못 사용하면 오히려 보안 취약점이 됩니다. 다음 실수들을 특히 조심해야 합니다.
- 솔트 없이 비밀번호 해싱: 같은 비밀번호는 같은 해시값이 되므로, 무작위 솔트를 추가하지 않으면 미리 계산된 레인보우 테이블에 뚫립니다.
- 취약한 알고리즘 재사용: 오래된 코드에서 MD5를 보안 목적으로 계속 쓰는 경우가 많습니다. 안전한 알고리즘으로 교체가 필요합니다.
- 해시를 암호화로 착각: 해시는 복호화가 불가능하므로 원문을 다시 얻어야 하는 상황에 쓰면 안 됩니다.
정리하면, 간단한 해시라도 용도를 명확히 구분하는 것이 핵심입니다. 파일 무결성 확인에는 SHA 계열, 비밀번호 저장에는 전용 알고리즘을 사용하고, 취약한 MD5와 SHA-1은 보안이 필요 없는 단순 체크 용도로만 제한적으로 쓰는 습관을 들이면 대부분의 문제를 예방할 수 있습니다.