다운로드 파일이 같은지 확인하기: SHA-256 무결성 검사와 한계

👤 인스피

조회 수 12

2. 무결성과 신뢰성은 같은 말이 아닙니다

배포자가 공개한 공식 해시와 다운로드 파일의 계산값이 같다면 두 내용이 일치하는지 확인하는 데 도움이 됩니다. 하지만 해시를 파일과 같은 의심스러운 게시물에서 받았다면 신뢰 근거가 약합니다. 공격자가 파일과 안내 값 모두를 바꿀 수 있는 상황에서는 일치 자체가 안전을 입증하지 않습니다.

가능하면 제작자의 공식 배포 페이지에서 해당 버전과 파일 이름에 대응하는 값을 찾습니다. 코드 서명이나 별도의 서명 검증 절차가 제공된다면 그 안내도 확인합니다. SHA-256은 백신이나 서명 검증을 대체하는 기능이 아닙니다. 해시가 같다는 결과에 신원과 안전성까지 덧붙여 해석하지 마세요.

3. Windows PowerShell에서 값 확인하기

PowerShell에는 Get-FileHash 명령이 있습니다. 내려받은 파일의 정확한 경로를 지정하고 Algorithm을 SHA256으로 선택합니다. 경로에 공백이 있으면 따옴표로 묶습니다. 터미널에 표시되는 경로와 파일 이름이 검사하려는 대상과 같은지 먼저 확인하세요.

확장자가 숨겨진 환경에서는 파일 탐색기의 표시 이름만 보고 대상을 고르기 쉽습니다. 원본 파일을 실행하거나 압축을 푼 다음 다른 파일을 계산하면 배포자가 공개한 값과 비교할 수 없습니다. 해시는 공개된 값이 가리키는 원본 바이트에 대해 계산해야 합니다. 대소문자는 표기 차이지만 누락된 문자나 다른 알고리즘은 별도 문제입니다.

4. 작은 파일로 변경을 재현합니다

아래 Python 예제는 같은 길이의 문자열 두 개를 계산합니다. 첫 글자만 소문자에서 대문자로 바꿉니다. 실행 결과는 SHA-256이 어느 부분이 변경됐는지 설명하는 도구가 아니라, 전체 내용이 같지 않다는 신호를 주는 도구임을 보여 줍니다.

사진의 촬영 정보 수정, 문서 재저장, 줄바꿈 변경도 파일 바이트를 바꿀 수 있습니다. 화면에 보이는 내용이 비슷하다는 이유로 같은 해시를 기대하면 안 됩니다. 압축 파일과 압축을 푼 파일도 다른 입력입니다. 비교할 두 대상을 먼저 정하고 그 뒤에 해시를 계산하는 순서를 지키세요.

5. 파일이 크면 한 번에 읽지 않습니다

아주 큰 파일을 전부 메모리에 올리면 불필요한 메모리 사용이 생깁니다. 예제의 파일 함수는 일정 크기의 청크로 읽어 같은 해시 객체를 갱신합니다. 데이터를 나누어 읽는다고 SHA-256 결과가 달라지는 것은 아닙니다. 청크 순서와 바이트 내용이 같아야 합니다.

검사 중 파일이 다른 프로그램에 의해 수정되면 결과 해석이 어려워집니다. 다운로드가 완료된 뒤 검사하고, 자동 업데이트나 동기화가 파일을 바꾸는지 확인하세요. 필요한 경우 별도 검사 폴더에 복사한 대상과 원본을 구분합니다. 네트워크 폴더의 임시 파일을 바로 실행하는 습관은 피하는 편이 좋습니다.

6. 값이 다를 때 확인할 순서

먼저 버전, 운영체제, CPU 아키텍처와 파일 이름이 맞는지 확인합니다. 다른 배포 파일의 해시를 비교한 실수는 흔히 가능한 원인입니다. 다음으로 다운로드가 중단되지 않았는지 확인하고, 공식 출처에서 다시 받은 새 파일을 검사합니다. 불일치한 파일을 실행해서 정상인지 시험하지 마세요.

배포자가 공식 해시를 제공하지 않으면 자신이 계산한 값은 이후 파일 변경을 추적하는 기준으로 사용할 수 있습니다. 그러나 최초 파일의 진위를 확인했다는 뜻은 아닙니다. 기록에는 파일 출처, 버전, 다운로드 시각과 알고리즘을 함께 남기세요. 나중에 값 하나만 남아 있으면 무엇과 비교해야 하는지 알기 어렵습니다.

7. 해시 비교 기록을 실제 작업에 남기는 방법

파일 검증을 팀에 전달할 때는 긴 해시 문자열 하나만 보내지 마세요. 파일 이름과 버전, 받은 주소, 계산한 알고리즘과 기대값 출처를 함께 남깁니다. 한 폴더에 설치 파일 두 개가 있으면 어느 파일을 확인했는지 쉽게 혼동합니다. 검사 직후 출력에 나온 경로를 다시 대조하는 작은 습관이 실수를 줄입니다.

이번 문자열 사례를 바꾸어 같은 내용을 두 번 계산해 보세요. 값이 같다는 정상 사례와 한 글자를 바꿨을 때 달라진다는 실패 사례를 함께 확인하면 판단 기준이 명확해집니다. 다음에는 메모장에서 텍스트를 재저장하고 줄바꿈이나 인코딩이 달라졌는지 비교할 수 있습니다. 내용이 비슷해 보이는 것과 바이트가 같은 것은 다릅니다.

압축을 풀기 전과 후의 검증 대상을 구분합니다. 제작자가 zip 파일의 해시를 제공했다면 zip 자체를 계산합니다. 압축 안의 실행 파일에 대한 안내가 있다면 정확히 그 파일을 사용합니다. 파일을 다른 도구로 다시 압축한 사본은 원본과 다르게 나올 수 있으므로 검증 기준으로 쓰지 않습니다. 다운로드 파일에 자체 편집을 가한 경우도 마찬가지입니다.

파일을 옮긴 뒤 확인하는 상황에서는 같은 알고리즘으로 원본과 목적지 파일을 계산합니다. 정상적으로 끝난 복사 작업이라도 자동 동기화 프로그램이 나중에 내용을 바꿀 수 있으므로 확인 시점을 기록하세요. 동일한 파일을 대상으로 읽기만 하는 검사는 내용을 수정하지 않습니다. 그러나 검증 도중 다른 작업이 쓰고 있는지까지 함께 확인하는 편이 좋습니다.

해시가 일치하지 않으면 예상값을 임의로 바꿔 통과시키지 않습니다. 새 다운로드와 버전 확인을 진행하고도 다르면 배포자의 안내를 확인합니다. 검증 결과를 오류로 처리하는 이유는 실행 전에 선택할 기회를 확보하기 위해서입니다. 자동 설치 스크립트를 만들 경우에도 비교가 실패하면 다음 단계로 넘어가지 않도록 설계하세요. 이 글의 함수는 그런 전체 설치 절차까지 구현한 것은 아닙니다.

8. 따라 하는 예제

명령과 코드는 학습용입니다. 설명에 표시된 실행 환경을 구분하고 새 시험 폴더 또는 모의 입력으로 시작하세요.

PowerShell: 실제 파일 검사

# PowerShell에서 실제 파일 확인
Get-FileHash -LiteralPath "C:\Downloads\installer.exe" -Algorithm SHA256

Python: 별도 파일로 실행

import hashlib
from pathlib import Path

def sha256_file(path):
    h = hashlib.sha256()
    with Path(path).open('rb') as f:
        for chunk in iter(lambda: f.read(1024 * 1024), b''):
            h.update(chunk)
    return h.hexdigest()

a = b'example download\n'
b = b'Example download\n'
print(hashlib.sha256(a).hexdigest())
print(hashlib.sha256(b).hexdigest())
assert hashlib.sha256(a).digest() != hashlib.sha256(b).digest()

9. 검증 결과와 해석

확인 항목	결과 또는 검증 범위
첫 번째 문자열	ce16f1cd97693d64079f04aa3dcb102de19e84d146d62c2229ebb4a969b094b0
첫 글자 변경	9a78504667ca1d00363bcbd9fe844a5894e82802afdbafbacf723115a8fe988e
판정	길이는 같지만 해시가 다름

문자열 해시의 불일치를 Python으로 검증했습니다. Windows PowerShell 자체 실행과 특정 배포 파일의 진위는 검증하지 않았습니다.