MD5·SHA-256 해시 확인 도구

체크섬은 해시라고도 하며, 파일의 모든 바이트를 바탕으로 계산한 짧은 문자와 숫자의 조합입니다. 같은 파일에서는 항상 같은 체크섬이 나오고, 단 1바이트만 바뀌어도 완전히 다른 값이 나옵니다. 그래서 체크섬은 파일 내용의 지문 같은 역할을 합니다.

소프트웨어 배포처는 다운로드 링크 옆에 체크섬을 함께 게시합니다. 다운로드한 파일의 체크섬을 계산해 게시된 값과 일치하면, 손상되거나 변조된 사본이 아니라 배포처가 공개한 바로 그 파일이라는 뜻입니다.

• 손상된 다운로드: 연결이 끊기거나 디스크에 문제가 생기면 아무런 오류 메시지 없이 큰 파일이 손상될 수 있습니다. 손상된 ISO 이미지는 출처를 잊어버린 한참 뒤, 설치 도중에 실패하는 경우가 많습니다.
• 변조된 파일: 다운로드 미러에 침입한 공격자가 파일을 악성코드가 담긴 파일로 바꿔치기할 수 있습니다. 2016년에는 Linux Mint 웹사이트가 해킹되어 다운로드 링크가 백도어가 심어진 ISO로 연결되기도 했습니다.
• 잘못된 파일: 체크섬을 확인하면 x64 대신 ARM 빌드를 받았거나 캐시에서 예전 버전을 받는 등, 버전이 뒤바뀐 경우도 잡아낼 수 있습니다.

1. 다운로드한 파일을 위의 도구에 끌어다 놓거나 클릭해서 선택합니다.
2. 다운로드 페이지에서 체크섬을 복사해 비교할 체크섬 입력란에 붙여 넣습니다.
3. 일치 여부가 표시됩니다. 체크섬의 길이를 보고 MD5, SHA-1, SHA-256, SHA-512를 자동으로 인식합니다.

9f86d0...0a08 *ubuntu.iso처럼 체크섬 파일의 한 줄을 통째로 붙여 넣어도 체크섬만 알아서 골라냅니다.

민감한 파일도 안심하고 확인할 수 있는 이유

대부분의 온라인 해시 계산기는 먼저 파일을 자체 서버에 업로드합니다. 이 도구는 브라우저 자체의 처리 능력으로 파일을 조금씩 나누어 읽기 때문에 파일이 기기 밖으로 나가지 않습니다. 업로드를 기다릴 필요도 없고, 아주 큰 파일도 문제없이 확인할 수 있습니다.

Windows에는 PowerShell에 체크섬 도구가 기본으로 들어 있습니다. PowerShell을 열고(시작 메뉴에서 검색), 파일이 있는 폴더로 이동한 다음 아래 명령을 실행하세요.

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

기본적으로 SHA-256 체크섬이 표시됩니다. 다른 알고리즘을 쓰려면 -Algorithm MD5, -Algorithm SHA1 또는 -Algorithm SHA512를 추가하세요. 비교할 체크섬과 한 글자씩 대조하지 않고 바로 비교하려면 다음 명령을 실행합니다.

(Get-FileHash .\ubuntu.iso).Hash -eq "여기에-올바른-체크섬-붙여넣기"

일치하면 True, 일치하지 않으면 False가 표시됩니다. 예전 명령 프롬프트에서는 대신 certutil -hashfile ubuntu.iso SHA256을 사용하세요.

터미널(응용 프로그램 > 유틸리티)을 열고 파일이 있는 폴더로 이동한 다음 아래 명령을 실행하세요.

cd ~/Downloads
shasum -a 256 app.dmg

SHA-1이나 SHA-512를 쓰려면 256을 1 또는 512로 바꾸세요. MD5는 md5 app.dmg를 실행합니다. 터미널이 체크섬을 대신 비교하게 하려면 다음 명령을 실행합니다.

echo "여기에-올바른-체크섬-붙여넣기  app.dmg" | shasum -a 256 -c

일치하면 app.dmg: OK가 표시됩니다. 체크섬과 파일 이름 사이에 공백이 두 칸 있어야 한다는 점에 주의하세요.

주요 Linux 배포판에는 모두 체크섬 도구가 기본으로 들어 있습니다. 터미널에서 다음 명령을 실행하세요.

sha256sum ubuntu.iso

md5sum, sha1sum, sha512sum도 같은 방식으로 사용할 수 있습니다. 많은 프로젝트가 모든 다운로드 파일의 체크섬을 모은 파일(보통 SHA256SUMS라는 이름)을 공개합니다. 이 파일을 다운로드한 파일과 같은 폴더에 넣고 다음 명령을 실행하세요.

sha256sum -c SHA256SUMS --ignore-missing

일치하는 파일마다 ubuntu.iso: OK가 표시됩니다. --ignore-missing은 목록에는 있지만 다운로드하지 않은 파일을 건너뜁니다.

네 가지 모두 하는 일은 같지만, MD5와 SHA-1은 누군가 의도적으로 파일을 위조하는 경우에는 더 이상 안전하지 않습니다. 그래도 우연한 손상은 잡아낼 수 있어서 여전히 많은 다운로드 페이지에 게시되어 있습니다.

다운로드 페이지에 체크섬이 여러 개 있다면 SHA-256이나 SHA-512를 사용하세요.

우선 파일을 열거나 설치하지 마세요. 그런 다음 가능성이 높은 순서대로 아래 항목을 확인하세요.

• 같은 알고리즘끼리 비교하고 있는지 확인하세요. SHA-256 체크섬은 MD5 체크섬과 절대 일치하지 않습니다.
• 버전 번호와 x64/ARM 여부까지 포함해, 체크섬에 해당하는 정확한 버전을 다운로드했는지 확인하세요.
• 파일을 삭제하고 다시 다운로드하세요. 가능하면 미러보다는 공식 사이트에서 받으세요.
• 공식 사이트에서 새로 받은 파일도 일치하지 않는다면, 파일을 사용하지 말고 배포처에 문의하세요.

체크섬이 일치한다는 것은 파일이 체크섬을 만든 원본과 똑같다는 뜻일 뿐, 그 파일이 안전하다는 증거는 아닙니다. 공격자가 웹사이트를 장악했다면 다운로드 파일과 그 옆의 체크섬을 모두 바꿔 놓을 수 있습니다.

더 확실하게 보호하려면, 미러에서 다운로드했다면 체크섬은 공식 사이트에서 확인하는 식으로 파일과 다른 곳에서 체크섬을 가져오세요. 일부 프로젝트는 체크섬 파일에 GPG 서명을 해 두므로, 체크섬이 배포처에서 나온 것인지도 확인할 수 있습니다.