SHA-256 해시 생성기 — 온라인 암호화 및 검증

"SHA-256 복호화"를 검색하시는 분들은 대부분 해시를 원문으로 되돌리고 싶어서 오시는데, 안타깝게도 SHA-256은 단방향 함수라 애초에 되돌리는 게 불가능합니다. 이 도구로 할 수 있는 건 텍스트를 즉시 SHA-256 해시로 변환하거나, 이미 가지고 있는 해시값과 특정 텍스트가 일치하는지 확인하는 것입니다. 입력이 단어 하나든 파일 전체든 상관없이 SHA-256 해시는 항상 256비트, 즉 64자리 16진수로 출력됩니다. 모든 해싱은 Web Crypto API를 이용해 브라우저 안에서만 처리되며, 입력한 내용이 서버로 전송되는 일은 없습니다.

이 도구는 무엇인가요?

SHA-256(Secure Hash Algorithm 256-bit)은 어떤 입력값이든 64자리의 고정된 16진수 지문으로 바꿔주는 알고리즘입니다. 같은 입력은 언제나 같은 해시를 만들어내고, 단 한 글자만 바뀌어도 결과값은 완전히 달라집니다. NSA가 개발하고 2001년 NIST가 표준으로 채택한 SHA-2 계열에 속합니다.

MD5나 SHA-1과 달리 SHA-256은 실용적인 충돌 공격이나 역상 공격이 알려진 바 없어 현재까지도 보안 표준으로 쓰이고 있습니다. TLS 인증서, 비트코인을 비롯한 블록체인, 코드 서명, 비밀번호 해싱(보통 느린 키 유도 함수와 함께 사용) 등 곳곳의 기반 기술입니다.

SHA-256 해시를 "복호화"해서 원문을 계산해내는 건 설계상 사실상 불가능합니다. 가능한 출력 조합이 2^256개나 되고, 알고리즘 자체가 역산이 안 되도록 정보를 의도적으로 버리기 때문이죠. 흔히 보이는 'SHA-256 디코더' 사이트들은 알고리즘을 실제로 역산하는 게 아니라, 흔한 입력값(사전 단어, 자주 쓰는 비밀번호 등)을 미리 해시로 만들어 놓은 거대한 표에서 찾아주는 방식일 뿐이라, 고유하거나 무작위인 값은 절대 찾아지지 않습니다.

왜 사용해야 할까요?

파일이나 문자열이 변조되지 않았는지 확인할 SHA-256 해시를 생성합니다.
원본 값을 노출하지 않고 비밀번호나 파일이 알려진 SHA-256 체크섬과 일치하는지 확인합니다.
결정적이고 충돌에 강한 캐시 키나 무결성 체크섬을 만듭니다.
다운로드한 파일의 SHA-256을 배포처가 공개한 체크섬과 대조합니다.
100% 로컬 처리: 입력값이 브라우저 밖으로 나가지 않습니다.

사용 방법

입력창에 텍스트를 입력하거나 붙여넣으세요.
"해시 생성" 버튼을 클릭하세요.
64자리 SHA-256 결과값을 확인하세요(시스템에서 대문자를 요구한다면 "대문자로 출력"을 체크하세요).
"복사" 버튼으로 해시를 복사하거나, 알고 있는 값과 직접 비교해 일치 여부를 확인하세요.

예시

입력

hello

결과

SHA-256: 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

해싱은 결정적입니다. "hello"는 어떤 도구로 언제 돌려도 항상 이 64자리 값을 만들어냅니다.

SHA-256에 '복호화'라는 표현이 적절하지 않은 이유

암호화와 해싱은 자주 혼동되지만 사실 풀고자 하는 문제 자체가 다릅니다. 암호화는 설계상 되돌릴 수 있습니다. 올바른 키만 있으면 암호문을 다시 평문으로 되돌릴 수 있죠. 반면 해싱은 의도적으로 단방향입니다. SHA-256은 어떤 크기의 입력이든 고정된 256비트 지문으로 압축하면서 그 과정에서 정보를 버리기 때문에, 이를 되돌릴 수 있는 키 자체가 존재하지 않습니다. 바로 이 성질 덕분에 무결성 검증이나 전자서명에 쓸 수 있는 것이고, 만약 되돌릴 수 있었다면 애초에 신뢰할 수 없었을 겁니다.

'SHA-256 디코드'를 검색하는 분들이 실제로 필요로 하는 것

이미 알고 있는 입력값으로 해시를 생성해서 체크섬으로 공개하거나 나중에 비교하려는 경우 — 이 도구로 바로 해결됩니다.
어떤 값이 알려진 SHA-256 결과와 일치하는지 검증하려는 경우, 예를 들어 비밀번호 추측이나 파일 변조 여부 확인 — 후보값을 해시로 만들어 문자열을 비교하면 됩니다.
특정 해시가 사전 단어처럼 흔히 알려진 입력값과 일치하는지 레인보우 테이블 조회 서비스로 확인하려는 경우 — 이건 복호화가 아니라 미리 해시로 만들어 둔 값들의 역방향 색인일 뿐이며, 고유하거나 충분히 무작위한 입력에는 통하지 않습니다.
다운로드한 파일이 배포처가 공개한 SHA-256 체크섬과 일치하는지 확인해 손상이나 변조를 탐지하려는 경우.

실제로 SHA-256이 쓰이는 곳

SHA-256은 브라우저 주소창의 자물쇠 아이콘 뒤에서 벌어지는 TLS/SSL 핸드셰이크를 지켜주며 인증서 변조 여부를 검증합니다. 비트코인의 작업증명 채굴과 블록 연결의 근간이 되는 해싱 알고리즘이기도 하고, 소프트웨어 패키지나 컨테이너 이미지에 서명해서 다운로드한 파일을 배포처의 체크섬과 대조 검증할 수 있게 해줍니다. 256비트 출력 공간(2^256가지 가능한 값)은 현재는 물론 예상 가능한 미래의 컴퓨팅 파워로도 우연이든 의도적이든 충돌이 일어날 확률을 천문학적으로 낮게 만들어주기 때문에, MD5나 SHA-1이 더는 안전하다고 볼 수 없게 된 지금도 기본 선택지로 남아 있습니다.

여러 알고리즘을 한 번에 비교하고 싶으신가요?

같은 텍스트의 MD5, SHA-1, SHA-256, SHA-384, SHA-512 값을 하나씩이 아니라 나란히 비교하고 싶다면, 멀티 알고리즘 비교 도구를 이용해 보세요.

→ 다중 알고리즘 해시 생성기

자주 묻는 질문

SHA-256 해시를 원래 텍스트로 복호화할 수 있나요?

아니요. SHA-256은 애초에 단방향 함수로 설계되어 있어서 해시값만으로는 원본 입력을 수학적으로 계산해낼 수 없습니다. 인터넷에 있는 'SHA-256 복호화' 도구들은 흔한 입력값을 미리 해시로 만들어 둔 거대한 표를 검색할 뿐이라, 고유하거나 무작위인 텍스트는 이런 방식으로는 절대 복원되지 않습니다.

복호화가 안 된다면 SHA-256 해시는 어떻게 '해독'하나요?

이걸 찾는 분들이 실제로 원하는 건 대개 세 가지 중 하나입니다. 텍스트에서 해시를 생성하거나(이 도구로 가능), 특정 텍스트가 알고 있는 해시와 일치하는지 확인하거나(해시를 만들어 비교), 파일 무결성을 공개된 체크섬과 대조하는 것이죠. 셋 다 이 페이지에서 할 수 있고, 어느 것도 해시를 역산할 필요가 없습니다.

비밀번호를 저장할 때 SHA-256만 써도 안전한가요?

SHA-256 단독으로는 이상적이지 않습니다. 연산 속도가 빨라서 최신 하드웨어로는 약한 비밀번호를 무차별 대입 공격하기가 오히려 쉬워지거든요. 비밀번호에는 bcrypt, scrypt, Argon2 같은 느린 키 유도 함수를 쓰는 게 좋고, SHA-256은 전체 방식이 아니라 그 안의 한 구성 요소 정도로 쓰는 게 바람직합니다.

같은 텍스트인데 다른 도구에서는 왜 해시값이 다르게 나오나요?

대부분은 눈에 안 보이는 차이 때문입니다. 문장 끝의 줄바꿈이나 공백, 줄바꿈 방식 차이(\r\n vs \n), 텍스트 인코딩 차이 같은 것들이죠. 바이트 단위로 완전히 동일한 입력이라면 SHA-256 해시도 항상 똑같이 나옵니다.

SHA-256도 MD5나 SHA-1처럼 뚫린 알고리즘인가요?

아닙니다. MD5(128비트)와 SHA-1(160비트)은 둘 다 실용적인 충돌 공격이 알려져 있어 보안 용도로는 이미 안전하지 않다고 봅니다. SHA-256(256비트)은 아직 알려진 실용적 공격이 없고, TLS, 블록체인, 전자서명 등에서 현재도 표준으로 쓰이고 있습니다.

제가 입력한 텍스트가 해싱을 위해 서버로 전송되나요?

아니요. SHA-256 계산은 브라우저에 내장된 Web Crypto API로 전적으로 처리됩니다. 모든 과정이 기기 안에서만 이루어지며 어디로도 전송되지 않습니다.

SHA-256 암호화 / 복호화 (온라인)