해시 생성기

해시(Hash)는 임의 길이의 데이터를 고정 길이의 다이제스트로 매핑하는 알고리즘입니다. 동일한 입력은 항상 동일한 출력을 생성하며, 미세한 입력 변화는 완전히 다른 출력을 초래하고, 해시 값에서 원본 데이터를 역추적할 수 없습니다. 대표적인 해시 알고리즘으로 MD5, SHA-1, SHA-256, SHA-384, SHA-512 등이 있으며, 데이터 무결성 검증, 비밀번호 저장, 디지털 서명 등 다양한 시나리오에서 널리 사용됩니다.

암호학적 해시 함수는 임의 길이의 입력을 고정 길이의 다이제스트로 매핑하며, 세 가지 보안 속성을 가집니다: 전 이미지 저항(역변환하기 어려움), 제2 전 이미지 저항(같은 다이제스트를 가진 다른 입력을 찾기 어려움), 충돌 저항(같은 다이제스트를 가진 두 입력을 찾기 어려움). MD5(Rivest 1991, RFC 1321), SHA-1(NIST FIPS 180-1, 1995), SHA-2 계열(FIPS 180-4, 2012)은 모두 Merkle-Damgård 구조입니다: 입력은 블록 크기의 배수로 패딩된 뒤 단방향 압축 함수를 통해 반복됩니다. 블록 크기는 MD5, SHA-1, SHA-256에서 512비트, SHA-512에서 1024비트입니다. 다이제스트 크기는 각각 128/160/256/384/512비트입니다. MD5(Rivest 1991)는 128비트 해시로, 네 개의 32비트 체인 워드(A, B, C, D)로 이루어진 64라운드 쿼터 라운드이며, 상수는 사인 함수에서 파생됩니다(보안적 의미 없음, 단순히 대칭을 깨기 위함). 충돌 공격: Wang 등 2004년에 MD5 충돌 탐색을 2^40 해시 연산으로 감소(수동 계산 차분 경로); Stevens 2009년에 선택 접두사 충돌 도구를 작성; Flame 악성코드 2012년에 새로운 선택 접두사 공격으로 Microsoft 코드 서명 인증서를 위조하여 최초의 공개 알려진 실환경 MD5 충돌 익스플로잇이 됨. 현재 MD5 충돌은 CPU에서는 1달러 미만, GPU에서는 밀리초 단위로 생성됩니다. 새로운 프로토콜에는 SHA-256을 사용하세요. SHA-1(FIPS 180-1, 2011년 FIPS 180-4 이후 NIST에 의해 폐기)은 160비트 해시로, 80라운드와 다섯 개의 32비트 체인 워드를 사용합니다. SHAttered 공격(Stevens 등, 2017년 2월)은 최초의 실용적 SHA-1 충돌을 생성했으며, 약 6,500 CPU년과 110 GPU년이 소요되었습니다. 2020년까지 선택 접두사 충돌은 약 45,000달러의 GPU 시간으로 실용화되었고, 2025년까지 상용 하드웨어에서의 충돌 비용은 10,000달러 미만입니다. Git은 2020년에 SHA-1에서 SHA-256으로 마이그레이션했으며, HTTPS 인증서는 2017년부터 SHA-1 사용이 금지되었습니다. SHA-2(FIPS 180-4, 2012)는 여섯 가지 해시를 다룹니다: SHA-1의 후속 SHA-224, SHA-256, SHA-384, SHA-512와 두 가지 절단 변형인 SHA-512/256, SHA-512/224. 내부적으로 SHA-256은 6개의 논리 함수(Ch, Maj, Σ0, Σ1, σ0, σ1)와 64개의 라운드 상수 K[t] = ⌊∛(t번째 소수의 소수 부분 첫 32비트)⌋를 사용합니다 — 소수-입방근 구조는 순수하게 미학적이며 보안 역할이 없습니다. SHA-256은 약 2010년부터 주력으로 TLS 1.3(RFC 8446), Bitcoin의 작업 증명(2025년 전환 논의까지), 대부분의 콘텐츠 주소 지정 저장소의 사실상 표준입니다. SHA-512/256은 64비트 워드를 사용하고 SHA-512의 압축을 실행한 뒤 절단하므로 64비트 하드웨어에서 더 빠릅니다. SHA-3(FIPS 202, 2014)와 Keccak(원본 제출)은 근본적으로 다른 구조를 사용합니다: 1600비트 상태를 가진 Keccak-f[1600] 스폰지 구조로, 흡수/압착 단계를 교대로 실행합니다. SHA-3는 SHA-2와 동일한 다이제스트 크기를 가지지만 Merkle-Damgård 해시에 영향을 미치는 길이 확장 공격에 저항합니다 — 비밀 접두사 MAC을 해싱할 때 유용한 속성입니다. BLAKE2(RFC 7693)는 소프트웨어에서 SHA-256보다 빠르며 WireGuard, Argon2 및 여러 최신 프로토콜이 사용합니다. 이 페이지는 SubtleCrypto.digest(플랫폼 네이티브 코드를 호출 — Chromium의 OpenSSL/BoringSSL, Firefox의 NSS, Safari의 등가)를 통해 브라우저에서 SHA-1, SHA-256, SHA-384, SHA-512를 실행하고, SubtleCrypto가 MD5를 노출하지 않으므로(W3C Web Crypto API 기준 MD5는 'recommend-only' 상태) 순수 JS MD5 구현으로 대체합니다. 10MB 파일의 경우 V8의 SHA-256은 최신 노트북에서 약 400MB/s로 실행되고, 순수 JS MD5는 약 100~150MB/s로 실행됩니다 — Web Crypto SHA 계열이 순수 JS 구현보다 3~4배 빠르므로 페이지가 SHA-1 이상을 네이티브 인터페이스로 라우팅하는 이유입니다.

• MD5(Rivest 1991, RFC 1321): 128비트 다이제스트, 512비트 블록, 64라운드, Merkle-Damgård. Wang 2004(2^40 작업량) 이후 충돌 취약, 2012년 Flame에서 선택 접두사 취약 — 새 코드에 사용하지 말 것. 비보안 체크섬, ETags, 콘텐츠 지문, 캐시 키에는 여전히 적합.
• SHA-1(FIPS 180-1, 1995; 2011년 FIPS 180-4에서 폐기): 160비트 다이제스트. SHAttered 충돌(Stevens 등, 2017년 2월)에 약 6,500CPU년 소요; 현재 선택 접두사 충돌은 10,000달러 미만. Git은 2020년 SHA-256으로 마이그레이션; CA/Browser Forum은 2017년 HTTPS 인증서에서 SHA-1 금지.
• SHA-256(FIPS 180-4): 256비트 다이제스트, Ch/Maj/Σ0/Σ1/σ0/σ1의 64라운드, ∛(소수) 소수 부분에서 파생된 64개 라운드 상수 K[t]. TLS 1.3(RFC 8446), 대부분의 콘텐츠 주소 지정 저장소, Bitcoin 마이닝의 주력. 256비트 보안 수준은 약 128비트 충돌 저항 제공.
• SHA-384/SHA-512(FIPS 180-4): SHA-512는 64비트 워드, 80라운드, 1024비트 블록. 64비트 하드웨어에서 SHA-256보다 약 1.5~2배 빠름. SHA-384는 SHA-512를 384비트로 절단; SHA-512/256은 SHA-512를 256비트로 절단하여 SHA-256보다 우수한 길이 확장 저항 제공.
• SHA-3(FIPS 202, 2014) / Keccak: Keccak-f[1600] 퍼뮤테이션을 사용하는 스폰지 구조, SHA3-256/384/512의 비트레이트 1088/832/576. Merkle-Damgård 해시에 영향을 미치는 길이 확장 공격에 저항 — 비밀 접두사 MAC에 유용.
• BLAKE2(RFC 7693)와 BLAKE3는 최신 고속 해시; BLAKE2s는 일반적인 MAC 키 유도에, BLAKE2b는 WireGuard와 여러 프로토콜에서 사용, BLAKE3는 병렬 해싱을 위한 Merkle 트리 추가. 2025년 기준 Web Crypto에 없으므로 이 페이지에서는 노출하지 않음.
• Web Crypto API(W3C): SubtleCrypto.digest('SHA-256', data)는 플랫폼 네이티브 코드로 계산된 Promise<ArrayBuffer>를 반환. V8의 SHA-256은 약 400MB/s, 순수 JS MD5는 약 100~150MB/s — 3~4배 격차가 페이지가 SHA-1 이상을 SubtleCrypto로 라우팅하는 이유.
• 길이 확장 주의사항: H(secret || message)는 공격자가 다이제스트와 메시지 길이를 알면 모든 Merkle-Damgård 해시(MD5, SHA-1, SHA-2)에서 위조 가능. HMAC(RFC 2104)과 SHA-3는 이를 방지. MAC에는 HMAC-SHA-256 또는 KMAC 사용; 신뢰할 수 없는 입력의 해시에는 원시 다이제스트로 충분.