네트워크 보안에서 해시란 무엇인가?
해시(hash)는 입력 파일이나 데이터를 '해싱'이라 불리는 일방향 함수(one-way function)에 통과시켜 얻은 고정 길이의 메시지 다이제스트(message digest)를 의미합니다. 해시는 암호화와 달리 복호화 키가 존재하지 않기 때문에, 한 번 변환된 값은 원본 데이터로 되돌릴 수 없습니다. 파일을 암호화하는 목적은 데이터를 알아볼 수 없는 형태로 인코딩하여 허가받지 않은 사용자가 내용에 접근하지 못하도록 하는 데 있습니다.
보안 분야에서 해싱은 어떻게 활용될까?
해싱은 수학적 공식을 이용해 하나의 데이터 집합을 고정된 길이를 가진 또 다른 값으로 변환하는 과정입니다. 실제 로그인 과정을 예로 들면, 사용자가 최초 회원가입 시 입력한 비밀번호는 해시 처리되어 서버에 저장됩니다. 이후 사용자가 다시 로그인을 시도하면 입력된 비밀번호가 동일한 해시 함수로 처리되며, 새로 생성된 다이제스트가 기존에 저장된 값과 일치하는지 비교하여 본인 여부를 검증합니다.
IT 용어로서의 해싱이란?
IT 분야에서 해싱(hashing)이란 어떤 데이터를 특정 공식(알고리즘)에 통과시켜 해시 값을 추출하는 작업을 뜻합니다. 해시는 일반적으로 문자열 형태이며, 입력 데이터의 크기가 얼마든지 상관없이 항상 동일한 길이를 가진다는 특징이 있습니다. 예를 들어 MD5 알고리즘으로 계산된 해시 값은 입력과 관계없이 항상 32자입니다.
네트워킹에서 해시의 역할
해싱은 문자열 집합을 전혀 다른 값으로 변환하는 알고리즘이라고 정의할 수 있습니다. 변환된 값은 원래 문자열보다 짧고 길이가 고정되어 있어, 데이터를 표현하고 검색·활용하기가 훨씬 수월합니다. 해싱의 가장 대표적인 활용 사례는 바로 해시 테이블(hash table) 구현입니다. 해시 테이블은 키-값 쌍을 빠르게 조회할 수 있는 자료구조로, 데이터베이스 인덱싱과 캐시 시스템 등에 널리 사용됩니다.
해시 값의 예시
해시 함수는 텍스트 메시지처럼 크기가 제각각인 입력 데이터를 받아 256비트처럼 고정된 크기의 결과값, 즉 해시 값(hash value)으로 변환합니다. 이렇게 생성된 값은 해시 코드(hash code) 또는 다이제스트(digest)라고도 부릅니다. SHA-256과 SHA3-256이 대표적인 예로, 임의의 입력으로부터 항상 256비트 길이의 출력을 생성합니다.
해싱은 보안을 제공하는가?
SHA-256이라는 이름은 출력이 256비트라는 의미에서 유래했습니다. 256비트는 32바이트에 해당하며, 각 바이트는 8비트의 정보를 담고 있습니다. SHA-256은 어떤 입력을 받더라도 항상 동일한 길이의 출력을 만들어냅니다. 다만 모든 해시 함수가 보안 목적으로 설계된 것은 아니므로, 보안 용도로는 충돌 저항성(collision resistance) 등 보안 요구 사항을 충족하는 암호학적 해시 함수를 선택해야 합니다.
사이버 보안에서의 해싱
사이버 보안에서 해싱은 임의의 크기를 가진 데이터를 알고리즘을 통해 고정된 길이로 매핑하는 과정을 말합니다. 그 결과물은 해시 값, 해시 코드, 해시 합, 해시 다이제스트 등 다양한 이름으로 불립니다. 암호화가 키를 사용해 데이터를 복원할 수 있는 양방향 함수(two-way function)라면, 해싱은 되돌릴 수 없는 일방향 함수(one-way function)라는 점에서 근본적인 차이가 있습니다.
해시 함수의 보안 취약점
대표적인 해시 알고리즘인 SHA-1은 구조적 취약점이 발견되었고, 프로세서 성능 향상과 클라우드 컴퓨팅의 확산으로 공격 비용이 낮아지면서 시간이 지날수록 보안성이 크게 저하되었습니다. 해시 함수에 대한 대표적인 공격인 충돌 공격(collision attack)은 서로 다른 두 입력 문자열이 동일한 해시 값을 갖도록 만드는 것을 목표로 합니다. 따라서 현재는 SHA-1이나 MD5 대신 SHA-256, SHA-3 같은 더 강력한 알고리즘을 사용하는 것이 권장됩니다.
마무리
해시는 데이터 무결성 검증, 비밀번호 저장, 디지털 서명, 블록체인 등 현대 정보 보안의 거의 모든 영역에서 활용되는 핵심 기술입니다. 안전한 시스템을 구축하려면 오래된 알고리즘을 지양하고, 솔팅(salting) 기법과 함께 최신 암호학적 해시 함수를 적용하는 것이 중요합니다.