본문으로 건너뛰기
bobob

해시 생성기

MD5, SHA-1, SHA-256, SHA-512 해시와 HMAC signature를 비교해 체크섬, webhook 테스트, 변경 감지를 확인하는 도구예요.

브라우저에서만 처리입력값이 서버로 가지 않아요.

입력과 결과

입력한 내용은 이 브라우저에만 저장돼요. 다시 열면 마지막 작업을 불러올 수 있어요.

이럴 때 써요

  • MD5, SHA-1, SHA-256, SHA-512 해시와 HMAC signature를 비교해 체크섬, webhook 테스트, 변경 감지를 확인하는 도구예요.
  • 브라우저 로컬 방식으로 입력을 다루며 복사 전 결과를 확인해요.
  • 해시 생성기와 관련 도구를 이어서 사용해 작업 흐름을 줄여요.

예제

일반 입력
hello world
해시 생성기를 사용하기 전에 이 예제로 입력 흐름을 확인하세요.
일반 출력
SHA-256: b94d27b9934d3e08... / HMAC-SHA-256: ... / 서명 보고서
복사하기 전에 결과 형태와 다음 검토 지점을 확인하는 예제예요.
추가 예제
release-v1.2.3.tar.gz
복사하기 전에 결과 형태와 다음 검토 지점을 확인하는 예제예요.
추가 예제
{"event":"payment.created","id":"evt_123"}
복사하기 전에 결과 형태와 다음 검토 지점을 확인하는 예제예요.

자주 하는 실수

  • Hash는 암호화가 아니며 password 저장 보호책으로 단독 사용하면 안 돼요.
  • 숨은 newline, space, Unicode normalization 차이가 hash 값을 바꾸며 HMAC signature는 공유 secret이 비공개일 때만 의미 있어요.
  • 복사한 값에 운영 비밀값, 고객 데이터, 내부 URL이 섞여 있으면 공유 전에 제거해야 해요.

복사하기 전에

  1. 1대상 시스템이 읽는 정확한 원문 기준으로 입력을 normalize해요.
  2. 2호환성이 아니라면 SHA-256/SHA-512를 우선 쓰고 webhook signature나 keyed payload 비교는 HMAC 모드로 확인해요.
  3. 3해시 생성기 결과가 다음 단계에 맞는지 관련 도구로 이어서 검토해요.

참고 자료

  • MD5 는 보안 용도로 새로 쓰지 않아요

    RFC 6151 은 MD5 의 충돌 공격이 실용적이라고 정리하고, 서명이나 무결성 보장이 필요한 곳에 새로 쓰지 말라고 권고해요. 파일 중복 찾기처럼 공격자가 없는 용도만 남았어요.

    기준 RFC 6151

  • SHA-2 의 출력 길이는 규격에 못 박혀 있어요

    FIPS 180-4 는 SHA-256·384·512 의 출력을 각각 256·384·512비트로 정해요. 같은 입력이면 어느 구현에서든 같은 값이 나와야 하니, 값이 다르면 알고리즘이 아니라 입력의 인코딩이나 끝 줄바꿈이 다른 거예요.

    기준 FIPS 180-4

  • 비밀번호는 해시가 아니라 키 파생 함수로 저장해요

    NIST SP 800-63B 는 저장하는 비밀번호 검증자에 솔트를 붙인 느린 키 파생 함수를 쓰라고 요구해요. SHA-256 한 번은 너무 빨라서, 유출되면 대량 추측으로 금방 뚫려요.

    기준 NIST SP 800-63B

자주 묻는 질문

해시 생성기 입력값은 어디에서 처리되나요?

가능한 작업은 브라우저에서 처리돼요. 운영 비밀값이나 고객 데이터는 넣지 않는 기준은 그대로 유지하세요.

결과를 그대로 운영에 써도 되나요?

복사하기 전에 대상 런타임, 인코딩, 시간대, 보안 정책처럼 환경별 차이를 한 번 더 확인하세요.