내려받은 파일이 진짜인지 체크섬으로 확인하는 법

프로그램 설치 파일이나 리눅스 설치 이미지를 내려받는 페이지를 보면 파일 링크 옆에 SHA256이나 MD5라는 이름과 함께 알 수 없는 긴 글자가 적혀 있는 경우가 많아요. 이 값이 체크섬이에요. 조금 귀찮아 보여도 이 값을 한 번 비교해 보면, 내가 받은 파일이 배포한 사람이 올린 파일과 똑같은지 확실하게 알 수 있어요.

체크섬이 무엇인가요

체크섬은 파일 내용을 정해진 계산식(해시 함수)에 넣어서 나온 고정 길이의 값이에요. 같은 파일이면 언제 어디서 계산해도 같은 값이 나오고, 파일 안의 1바이트만 달라져도 완전히 다른 값이 나와요. 그래서 배포한 쪽이 계산해 둔 값과 내가 계산한 값이 같다면, 두 파일은 사실상 같은 파일이라고 볼 수 있어요.

이 확인이 필요한 경우는 크게 두 가지예요. 하나는 내려받는 도중에 네트워크 문제로 파일이 깨진 경우예요. 큰 파일일수록 이런 일이 생기기 쉽고, 깨진 설치 이미지는 설치 중간에 이상한 오류를 내요. 다른 하나는 공식 사이트가 아닌 미러 서버나 공유 링크에서 받았을 때 누군가 파일을 바꿔치기한 경우예요. 체크섬이 공식 사이트에 적힌 값과 다르면 그 파일은 쓰지 않는 게 안전해요.

어떤 해시 방식을 봐야 할까

체크섬 값의 길이를 보면 어떤 방식인지 대략 알 수 있어요.

사이트에 여러 값이 있다면 SHA-256 이상을 기준으로 확인하세요. MD5와 SHA-1은 우연한 손상을 찾는 데는 문제없지만, 악의적으로 만든 파일을 걸러 내는 데는 믿기 어려워요.

브라우저에서 바로 확인하는 순서

1. 다운로드 페이지에서 체크섬 값을 복사해요. 값 앞에 SHA256: 같은 이름이 붙어 있어도 괜찮아요.
2. 아래 해시·체크섬 생성기를 열고 위쪽에서 파일 탭을 고른 뒤, 내려받은 파일을 끌어다 놓아요.
3. 오른쪽 체크섬 비교 칸에 복사한 값을 붙여 넣어요.
4. "일치해요"가 나오면 정상이에요. 일치하지 않는다고 나오면 파일을 다시 내려받아 한 번 더 확인하세요.

파일은 브라우저 안에서만 읽고 계산해서 인터넷으로 전송되지 않아요. 몇 기가바이트짜리 설치 이미지도 계산할 수 있지만, 휴대폰보다는 PC에서 하는 게 빠르고 안정적이에요.

명령어로 확인하는 방법도 알아 두기

프로그램을 설치하지 않고 운영체제 기본 명령어로도 같은 값을 구할 수 있어요.

• 윈도우 PowerShell: Get-FileHash 파일이름 -Algorithm SHA256
• 맥 터미널: shasum -a 256 파일이름
• 리눅스: sha256sum 파일이름

명령어 결과와 이 도구의 결과는 대소문자만 다를 수 있고 값 자체는 같아야 해요. 대소문자는 의미가 없으니 신경 쓰지 않아도 돼요.

값이 다를 때 확인할 점

• 다른 방식끼리 비교하지 않았나요? SHA-256 값과 MD5 값은 길이부터 달라요. 도구가 길이를 보고 어떤 방식인지 알려 줘요.
• 다른 파일의 값이 아닌가요? 같은 페이지에 버전이나 운영체제별로 여러 파일이 있으면 값도 여러 개예요. 파일 이름이 정확히 같은 줄의 값을 쓰세요.
• 다운로드가 끝까지 됐나요? 파일 크기가 다운로드 페이지에 적힌 크기와 같은지 먼저 확인해 보세요.

여러 번 다시 받아도 값이 다르다면 그 파일은 쓰지 말고 공식 사이트에서 직접 내려받는 게 좋아요. 1분 정도 걸리는 확인이지만, 깨진 설치 파일 때문에 몇 시간을 헤매거나 위험한 파일을 실행하는 일을 막아 줘요.

이 글에 나온 도구