099. SHA-1 — 160비트, SHA-1 충돌 발견 (2017, SHAttered)

핵심 인사이트 (3줄 요약)

본질: SHA-1 (Secure Hash Algorithm 1)은 어떤 크기의 데이터든 고정된 160비트 길이의 고유한 지문(해시값)으로 압축해 내는, 과거 인터넷 보안의 절대적 표준이었던 2세대 해시 함수다.

가치: MD5의 보안 취약점을 극복하기 위해 출력 길이를 늘려 생일 공격(Birthday Attack)에 대한 저항성을 대폭 강화했으며, HTTPS 인증서나 Git 버전 관리 등 무결성이 필요한 모든 IT 인프라에 채택되었다.

판단 포인트: 2017년 구글의 'SHAttered' 프로젝트를 통해 내용이 다른 두 파일이 같은 해시값을 갖는 '충돌(Collision)'이 실제로 완벽하게 증명되었으므로, 현재 보안 실무에서는 SHA-1 사용을 전면 금지하고 SHA-256 이상으로 강제 이관해야 한다.

Ⅰ. 개요 및 필요성

네트워크로 문서를 주고받을 때, 중간에 해커가 문서를 위조하지 않았다는 무결성(Integrity)을 증명하려면 문서 원본 대신 문서의 '디지털 지문'을 비교하는 해시(Hash) 함수가 필요하다. 1990년대 초반 널리 쓰이던 MD5(128비트)는 해커들의 연산 능력이 발달함에 따라 생일 공격에 의해 충돌(서로 다른 문서가 같은 지문을 가짐)이 발생할 위험에 노출되었다.

이에 미국 국가안보국(NSA)은 1995년, MD5의 구조를 바탕으로 방어벽을 더 두껍게 만든 SHA-1을 발표했다. SHA-1은 지문 길이를 160비트로 늘려, 충돌을 찾기 위한 수학적 경우의 수를 당시 컴퓨터로는 풀 수 없는 $2^{80}$ 수준으로 끌어올렸다. 이 강력함 덕분에 전 세계 SSL/TLS 인증서, 전자서명, 소프트웨어 배포의 무결성 검증 표준으로 빠르게 자리 잡았다.

📢 섹션 요약 비유: MD5가 4자리 비밀번호 자물쇠라 도둑들이 금방 풀 수 있게 되자, 정부가 급하게 6자리로 자물쇠 다이얼을 늘린 SHA-1을 보급하며 "이건 평생 못 뚫는다"고 선언한 것과 같다.

Ⅱ. 아키텍처 및 핵심 원리

SHA-1은 원본 메시지를 512비트 단위의 블록으로 쪼갠 뒤, 연속적으로 압축하는 머클-담가드 (Merkle-Damgård) 구조를 따른다.

전처리 (Padding): 원본 데이터의 길이가 512비트의 배수가 되도록 패딩(0과 1 추가)하고, 마지막에 원본의 길이 정보를 붙인다.
초기화 벡터 (IV): 160비트 크기의 상태 레지스터를 5개의 32비트 워드(A, B, C, D, E)로 나누어 초기화한다.
압축 함수 (Compression): 512비트 블록 하나를 80번의 복잡한 비트 연산(AND, OR, XOR, 비트 회전 등) 루프에 통과시켜 상태 레지스터 값을 뒤섞는다. 이 과정을 모든 블록이 끝날 때까지 릴레이 방식으로 반복한다.
최종 출력: 마지막 블록까지 섞인 5개의 레지스터(160비트)가 최종 해시값(지문)이 된다.

┌──────────────────────────────────────────────────────────────┐
│                  SHAttered 공격: 충돌 저항성의 붕괴            │
├──────────────────────────────────────────────────────────────┤
│ [ 구글이 실증한 충돌(Collision) 시나리오 ]                   │
│                                                              │
│ 📄 정상 PDF (집계약서 1억 원)  ──▶ (SHA-1) ──┐              │
│                                              ▼              │
│                                       [ 38762C... (동일) ]   │
│                                              ▲              │
│ 📄 악성 PDF (집계약서 10억 원) ──▶ (SHA-1) ──┘              │
│                                                              │
│ ※ 해커가 정상 문서의 '전자서명'을 떼어 악성 문서에 복붙하면,  │
│    시스템은 해시가 같으므로 위조를 알아채지 못하고 통과시킨다!  │
└──────────────────────────────────────────────────────────────┘

결국 2017년, 구글과 CWI 연구소는 GPU 클러스터를 동원해 내용이 전혀 다른 두 PDF 파일이 똑같은 SHA-1 해시값을 뱉어내는 실증 공격(SHAttered)에 성공하면서, SHA-1의 구조적 완벽함이 깨졌음을 입증했다.

📢 섹션 요약 비유: SHA-1 알고리즘은 거대한 고기 다지기 기계다. 소고기를 넣든 돼지고기를 넣든 160g짜리 완벽한 고기완자로 뭉쳐낸다. 문제는 구글이 '독약 고기'와 '정상 고기'를 기계에 넣었을 때 겉모양과 무게가 똑같은 160g짜리 고기완자가 나오는 조리법을 찾아내 버렸다는 것이다.

Ⅲ. 비교 및 연결

해시 함수는 세대를 거치며 '출력 비트 수 증가'라는 단순하지만 가장 강력한 방어 기제를 발전시켜 왔다.

세대	알고리즘	해시 길이	충돌 저항성 방어 난이도	현재 상태
1세대	MD5	128비트	$2^{64}$ 연산 필요	완전 붕괴 (사용 금지)
2세대	SHA-1	160비트	$2^{80}$ 연산 필요 (SHAttered로 파훼)	실증적 붕괴 (사용 전면 금지)
3세대	SHA-256 (SHA-2)	256비트	$2^{128}$ 연산 필요	현재 글로벌 표준 (안전)

비트코인(Bitcoin)과 같은 암호화폐 시스템은 탄생 당시부터 SHA-1의 위험성을 인지하고 넉넉하게 SHA-256을 채택했기 때문에 무결성을 지킬 수 있었다. Git 역시 버전을 SHA-1으로 관리하다 충돌 공격의 타깃이 될 수 있다는 지적을 받고, SHA-256 체제로 마이그레이션을 진행 중이다.

📢 섹션 요약 비유: MD5가 나무 문, SHA-1이 철문이라면, 해커들의 대포(컴퓨팅 파워)가 강해져 철문까지 박살 났다. 이제는 뚫을 엄두조차 안 나는 두께 10미터짜리 티타늄 방폭문(SHA-256)을 써야만 하는 시대로 넘어온 것이다.

Ⅳ. 실무 적용 및 기술사 판단

오늘날 실무에서 SHA-1과 관련된 기술사적 판단은 오직 **'어떻게 빠르고 안전하게 제거할 것인가'**에 맞춰져 있다.

판단 포인트 (의사결정)

레거시 시스템 마이그레이션: 오래된 사내망 시스템이나 구형 IoT 장비가 여전히 SHA-1 기반의 SSL/TLS 인증서를 사용 중이라면 즉시 교체 프로젝트를 기안해야 한다. 현대의 웹 브라우저(크롬, 엣지 등)는 SHA-1 인증서를 발견하면 접속 자체를 강제 차단(Red Screen)하기 때문이다.
해시 함수의 용도 분리: 비밀번호를 암호화하여 DB에 저장할 때 SHA-1이나 SHA-256 같은 빠른 일반 해시를 쓰면 안 된다. 빠른 연산 속도 탓에 브루트포스(Brute-force) 공격에 취약하므로, 반드시 연산을 의도적으로 지연시키는 Bcrypt나 Argon2를 채택해야 한다.

안티패턴

보안 컴플라이언스(ISMS 등) 심사 시점까지 내부 망 API 통신에서 성능 핑계를 대며 SHA-1을 방치하는 행위.
단순히 눈으로 무결성을 확인하는 파일 다운로드 체크섬(Checksum) 제공 시, 굳이 깨져버린 SHA-1이나 MD5만 제공하는 행위.
📢 섹션 요약 비유: 실무에서 SHA-1을 쓰는 것은 유통기한이 10년 지난 안전모를 쓰고 공사장에 들어가는 것과 같다. 옛날에는 튼튼했을지 몰라도, 지금은 벽돌 하나만 떨어져도 목숨을 잃게 되는 버려야 할 장비다.

Ⅴ. 기대효과 및 결론

SHA-1은 15년이 넘는 기간 동안 전 세계 인터넷 통신의 신뢰를 담보한 위대한 알고리즘이었다. 비록 연산 능력의 발전으로 퇴역하게 되었지만, 블록 분할 방식과 비트 연산의 조화라는 해시 설계의 교과서적 아키텍처를 후대에 남겼다.

결론적으로 SHA-1의 몰락(SHAttered)은 "영원한 암호 알고리즘은 없다"는 보안 철학을 실증한 역사적 사건이며, 보안 엔지니어에게는 주기적인 암호화 알고리즘 교체(Crypto Agility) 체계를 시스템 설계 단계부터 반영해야 한다는 뼈아픈 교훈을 남겼다.

📢 섹션 요약 비유: SHA-1은 명예롭게 은퇴한 '노병'이다. 과거의 수많은 전투(해킹 공격)로부터 인터넷을 지켜냈지만, 이제 최신식 무기로 무장한 적(슈퍼컴퓨터) 앞에서는 버틸 수 없어 더 강한 후배(SHA-256)에게 자리를 물려주고 떠났다.

📌 관련 개념 맵

개념	연결 포인트
충돌 저항성 (Collision Resistance)	해시 함수의 가장 중요한 요건. SHA-1은 이 저항성이 실증적으로 깨지며 폐기됨.
전자서명 (Digital Signature)	원본 문서 대신 SHA-1 해시값에 서명하여 무결성을 보장하던 핵심 응용 분야
머클-담가드 (Merkle-Damgård) 구조	MD5, SHA-1, SHA-2까지 이어지는 블록 단위 연쇄 해시 압축의 기본 뼈대 구조
SHA-256 (SHA-2 패밀리)	SHA-1의 치명적 취약점을 극복하기 위해 출력 길이를 256비트로 늘린 현재 글로벌 표준

📈 관련 키워드 및 발전 흐름도

MD5 (128비트, 생일 공격 및 충돌 취약점 노출)
    │
    ▼
SHA-1 발표 (160비트로 확장, 무결성 보안 표준 등극)
    │
    ▼
왕샤오윈 교수의 충돌 이론 발표 (수학적 붕괴 경고)
    │
    ▼
구글 SHAttered 프로젝트 성공 (동일한 해시를 가진 두 PDF 파일 실증)
    │
    ▼
브라우저 및 IT 인프라에서 SHA-1 전면 차단 및 강제 퇴출
    │
    ▼
SHA-256 및 SHA-3 (Keccak)으로의 글로벌 표준 완전 마이그레이션

👶 어린이를 위한 3줄 비유 설명

SHA-1은 컴퓨터가 엄청 긴 글을 읽고 딱 160글자짜리 '요약 비밀번호'로 만들어주는 마법 기계예요.
옛날에는 이 비밀번호만 똑같으면 무조건 같은 문서라고 믿고 은행 문을 열어줬어요.
그런데 어떤 나쁜 천재가 전혀 다른 가짜 문서를 기계에 넣고 돌렸는데 똑같은 '요약 비밀번호'가 나오는 법을 알아내 버려서, 이제는 아무도 이 기계를 쓰지 않게 되었답니다!