해시

해시(hash)는 어떤 데이터든 넣으면 정해진 길이의 "지문" 값을 만들어 주는 계산이에요. 그 값을 해시값, 계산 규칙을 해시 함수라고 불러요. 사람마다 지문이 다르듯 데이터마다 해시값이 달라서, 파일이 바뀌었는지 확인하거나 비밀번호를 안전하게 저장할 때 써요.

해시에는 어떤 성질이 있어요?

• 길이가 늘 같아요 — 한 글자든 10MB 파일이든 SHA-256 은 늘 16진수 64자예요.
• 같은 입력 → 같은 값 — 윈도우에서 계산하든 리눅스에서 계산하든 같아요.
• 조금만 달라도 전혀 다른 값 — 이걸 눈사태 효과라고 해요.
• 되돌릴 수 없어요 — 해시값만 보고 원래 내용을 알아낼 방법이 사실상 없어요.

직접 돌려 봤어요

2026년 10월 29일, 리눅스와 같은 명령을 쓰는 Git Bash 에서 실행한 결과예요.

$ echo -n "hello" | sha256sum
2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 *-
$ echo -n "Hello" | sha256sum
185f8db32271fe25f561a6fc938b2e264306ec304eda518007d1764826381969 *-
$ echo -n "" | sha256sum
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 *-

(끝의 *- 는 "파일 대신 입력을 이진 모드로 읽었다"는 표시예요.) 첫 글자 h 를 대문자로 바꿨을 뿐인데 64자가 통째로 달라졌어요. 빈 값을 넣어도 64자가 나와요.

이번엔 파일이에요. a.txt 에 "안녕하세요", b.txt 에 똑같은 내용, c.txt 에 마침표 하나를 더 넣었어요.

$ sha256sum a.txt b.txt c.txt
2c68318e352971113645cbc72861e1ec23f48d5baa5f9b405fed9dddca893eb4 *a.txt
2c68318e352971113645cbc72861e1ec23f48d5baa5f9b405fed9dddca893eb4 *b.txt
8b118d6741f7cfa1a7ee246d0dda39f2f00bf9fd207b4e6c7fad87a15434a513 *c.txt

내용이 같은 a 와 b 는 값이 같고, 마침표 하나 다른 c 는 전혀 달라요. 윈도우 도구로 같은 a.txt 를 계산해도 같은 값이 나왔어요.

PS> Get-FileHash .\a.txt -Algorithm SHA256
Algorithm : SHA256
Hash      : 2C68318E352971113645CBC72861E1EC23F48D5BAA5F9B405FED9DDDCA893EB4

$ openssl dgst -sha256 a.txt
SHA2-256(a.txt)= 2c68318e352971113645cbc72861e1ec23f48d5baa5f9b405fed9dddca893eb4

윈도우는 대문자로 보여 줄 뿐 같은 값이에요. 속도도 재 봤어요. 100MB 데이터를 SHA-256 으로 계산하는 데 0.28 · 0.29 · 0.29초 걸렸어요(3번).

해시는 어디에 써요?

내 파일 해시는 어떻게 확인해요?

나온 값을 배포처의 값과 앞 몇 자리만 보지 말고 끝까지 비교하세요. 대소문자는 신경 쓰지 않아도 돼요.

해시와 암호화는 뭐가 달라요?

자주 하는 오해

• MD5 도 괜찮다 — MD5 와 SHA-1 은 일부러 같은 해시값을 만드는 공격이 알려져 있어요. 보안 목적이면 SHA-256 이상을 쓰세요. (같은 "hello"의 MD5 는 32자: 5d41402abc4b2a76b9719d911017c592)
• 비밀번호는 SHA-256 한 번이면 안전하다 — 너무 빨라서 무작위 대입에 약해요. 비밀번호에는 솔트(사람마다 다른 덧붙임 값)를 섞고 일부러 느리게 만든 해시(bcrypt·Argon2 등)를 써요.
• 해시 = 해시태그 — SNS 의 #해시태그는 # 기호(hash)에서 온 이름일 뿐, 이 글의 해시와는 다른 말이에요.

퓨쳐인프라에서는

퓨쳐인프라 스크래핑 웹훅은 결과를 보낼 때 X-FI-Signature: sha256=… 머리글에 HMAC-SHA256 서명을 붙여요. 받는 쪽은 같은 비밀값으로 해시를 계산해 맞으면 "퓨쳐인프라가 보낸 게 맞다"고 믿을 수 있어요. 계산은 이런 식이에요(예시 비밀값).

$ echo -n '{"ok":true}' | openssl dgst -sha256 -hmac "demo-secret"
SHA2-256(stdin)= 843e083cfcc57142e9fa7cf1391073ddf46c2437c54bc7f4e4ea3d95cb98e632

서버를 직접 운영한다면 가상서버에서 위 명령을 그대로 쓸 수 있어요. 가입하면 2,000원 크레딧이 들어와서 작은 서버를 먼저 띄워 볼 수 있어요.

자주 묻는 질문

해시값이 같은 다른 파일이 있을 수 있나요?

이론상으로는 있어요(충돌). 다만 SHA-256 에서 일부러 찾아낸 사례는 아직 알려지지 않았어요. MD5·SHA-1 은 찾아낼 수 있어서 보안용으로 쓰지 않아요.

해시값으로 원래 비밀번호를 알 수 있나요?

직접 되돌릴 수는 없어요. 다만 짧고 흔한 비밀번호는 미리 계산해 둔 표와 맞춰 볼 수 있어서, 솔트와 느린 해시가 필요해요.

체크섬과 해시는 같은 말인가요?

비슷하게 써요. 체크섬은 '파일이 깨졌는지 확인하는 값'이라는 쓰임새를 말하고, 요즘은 그 값을 대부분 해시 함수로 만들어요.

SHA-256 의 256 은 무슨 뜻이에요?

결과가 256비트라는 뜻이에요. 16진수로 쓰면 64자가 돼요.

관련 용어

2단계 인증 · 세션 · OAuth · 캐시 · 서버란