체크섬으로 내려받은 파일이 진짜인지 확인하는 방법

가이드 · 2026년 10월 12일 업데이트 · 작성: Tiago Santos

소프트웨어, 운영체제, 펌웨어 다운로드 페이지에는 파일 옆에 SHA-256이나 ‘checksum’이라고 적힌 긴 코드가 있는 경우가 많아요. 이걸로 내려받은 파일이 배포자가 공개한 바로 그 파일이라는 걸, 즉 도중에 손상되지도, 조작된 사본으로 바뀌지도 않았다는 걸 증명할 수 있어요.

체크섬이란

체크섬(해시)은 파일의 모든 바이트로 계산한 지문이에요. 바이트 하나만 바뀌어도 지문이 완전히 달라져요. 내려받은 파일의 지문이 배포자가 공개한 지문과 같다면 두 파일은 동일해요.

오늘날의 표준은 SHA-256이에요. 오래된 사이트에서는 아직 MD5나 SHA-1을 볼 수도 있어요. 손상된 다운로드를 찾아내기엔 충분하지만, 의도적인 조작에는 더 이상 안전하지 않아요.

브라우저에서 확인하기

파일 체크섬을 열고 다운로드 페이지의 체크섬을 붙여 넣으세요.
내려받은 파일을 고르세요. 몇 GB짜리라도 여러분 기기에서 계산돼요.
‘일치해요’ 또는 ‘일치하지 않아요’가 보여요. 일치하지 않으면 파일을 지우고 공식 사이트에서 다시 내려받으세요.

Windows에서

PowerShell을 열고 Get-FileHash 파일\경로를 실행하세요. SHA-256 해시가 출력돼요. 명령 프롬프트에서는 certutil -hashfile 파일\경로 SHA256이 같은 일을 해요.

Mac과 Linux에서

터미널을 열고 Mac에서는 shasum -a 256 파일/경로, Linux에서는 sha256sum 파일/경로를 실행하세요.

파일 대신 텍스트의 해시

개발자는 API 서명을 비교할 때처럼 텍스트 조각의 해시가 필요할 때가 있어요. 해시 생성기는 입력하는 동안 MD5, SHA-1, SHA-256부터 SHA-512까지 보여 주고, 비밀 키를 쓴 HMAC도 지원해요.

한 가지 주의할 점

체크섬은 파일이 페이지에 적힌 값과 일치한다는 것만 증명해요. 사이트 자체가 해킹됐다면 둘 다 바뀌었을 수 있어요. 중요한 소프트웨어는 배포자가 릴리스에 서명도 하지만, 일상적인 다운로드에는 체크섬이 빠르고 실용적인 확인 방법이에요.