160억 년. 지구상에 존재하는 약 30억 대의 GPU를 모두 최고 성능의 RTX 5090으로 교체하고 100% 풀가동하더라도, 암호학계에서 이미 뚫린 것으로 간주하는 MD5 알고리즘에 대해 특정한 제2역상(second-preimage) 해시 충돌을 무차별 대입으로 찾아내는 데는 우주의 나이보다 긴 시간이 걸린다. 이는 깃버틀러(GitButler) 창업자이자 깃허브(GitHub) 공동 창업자인 스콧 샤콘(Scott Chacon)이 시뮬레이션을 통해 계산한 브루트 포스 공격의 비용 한계선이다. 그러나 현실 세계에서 Git 3.0은 기본 객체 해시 알고리즘을 SHA-1에서 SHA-256으로 강제 전환하려 하고 있다. 실제 엔지니어링 환경에서 투자 대비 수익률이 극히 낮고 사실상 이론상으로만 존재하는 공격 경로를 차단하기 위해, 전 세계 코드 호스팅 인프라와 개발 도구 체인이 대대적인 철거와 재구축에 직면한 것이다. 이 값비싼 강제 이전은 암호학적 규정 준수 요구와 최전선 엔지니어링 현실 사이에 가로놓인 깊은 간극을 여실히 드러낸다.
수만 달러의 연산 비용이 촉발한 과잉 방어
2017년 보안 연구 커뮤니티가 SHAttered 충돌 공격을 실증하고 2020년 더 치명적인 ‘SHA-1 is a Shambles’ 연구를 발표한 이후, 이론적 암호학의 관점에서 SHA-1은 완전히 깨진 것이 사실이다. 퍼블릭 클라우드의 GPU 컴퓨팅 클러스터를 수만 달러 정도의 비용으로 대여하기만 하면 연구원이나 해커는 서로 다른 내용이면서도 완전히 동일한 해시값을 갖는 두 파일을 인위적으로 생성할 수 있다. 미국 국립표준기술연구소(NIST)를 비롯한 권위 있는 표준 기관들은 이미 모든 현대적 애플리케이션에서 SHA-1 사용을 중단하라는 공식 지침을 내렸다. 규정 감사와 장기적인 보안이라는 거시적 관점에서 보면, 전 세계 소프트웨어 개발 수명 주기를 떠받치는 핵심 인프라인 Git이 최신 암호 표준 규격을 따르는 것은 지극히 당연해 보인다. 단기적 진통을 감수하고 향후 수십 년간의 근본적인 확실성을 확보하는 것은 전통적인 보안 방어 논리에도 잘 부합한다.
그림: Git은 키-값 객체 데이터베이스의 키로 SHA-1 해시를 사용한다. 출처: GitButler 블로그
그러나 현실 세계에서 먹잇감을 노리는 공격자들은 암호학 논문에 나오는 정교한 곡예식 공격 기법을 굳이 따르지 않는다. 복잡하게 얽힌 오픈소스 소프트웨어 공급망 생태계에서 특정 코드베이스에 악성코드를 심는 가장 저렴하고 효과적인 방법은 결코 거액을 들여 해시 충돌을 계산하는 것이 아니다. 공격자들은 대개 사회공학적 기법을 통해 수백만 개 프로젝트가 의존하는 하위 NPM 패키지 유지관리자의 계정 권한을 탈취한 뒤, 이미 신뢰 목록에 등록된 상류 저장소에 버젓이 악성 로직을 직접 주입한다. 개인의 열정과 무보수 노동에 의존하는 수많은 오픈소스 관리자들과 자동화된 코드 보안 검증 시스템이 미흡한 서드파티 패키지 저장소들이 존재하는 현실에서, 수만 달러의 연산 비용을 태워가며 정교한 Git 커밋 이력을 위조하는 것은 전체 공격 체인 중 가장 비효율적이고 비경제적인 선택지다. 규정 준수 관점의 이론적 알고리즘 취약점을 일상적인 보안 방어의 절대적인 중심으로 삼는 것은 한정된 보안 자원의 심각한 오배분을 초래할 뿐이다.
개발자가 신뢰하는 것은 배포 플랫폼이지 저수준 공식이 아니다
일찍이 2005년, Git의 창시자인 리누스 토르발스(Linus Torvalds)는 리눅스 커널 메일링 리스트에서 시스템의 핵심 설계 철학을 분명히 밝혔다. SHA-1 알고리즘을 결코 만능 보안 방어선으로 여겨서는 안 되며, 진정한 보안 메커니즘은 언제나 코드의 유통과 배포 단계에 존재한다는 점이었다. Git의 본질은 콘텐츠 주소 지정이 가능한 키-값 데이터베이스이며, 해시 함수는 이 데이터베이스에서 원하는 데이터를 빠르게 꺼내오기 위한 색인 키에 불과하다. 동일한 파일 내용은 반드시 완전히 동일한 해시값을 만들어내므로, 전체 저장소 공간에서 동일한 파일 조각의 중복을 원천 차단하여 대규모 코드베이스의 디스크 저장 효율을 획기적으로 최적화한다. Git 아키텍처에서 해시 알고리즘이 맡은 핵심 임무는 네트워크 전송과 로컬 저장 과정에서 데이터의 무결성(Integrity)을 보장하는 것이지, 코드 작성자의 신원을 증명하는 것이 아니다.
그림: 충돌 공격(Collision)과 제2역상 공격(Second-Preimage)의 차이. 출처: GitButler 블로그
전 세계 개발자들이 GitHub나 GitLab 같은 대규모 중앙 집중식 코드 호스팅 저장소에서 업데이트를 내려받을 때, 그들이 무의식중에 깊이 신뢰하는 대상은 플랫폼이 구축한 계정 격리와 엄격한 권한 인증 체계다. 상용 플랫폼의 인프라가 충분히 견고하여 외부 해커가 핵심 유지관리자의 코드 리뷰 절차를 우회해 메인 브랜치에 위변조된 악성 커밋을 강제로 밀어 넣을 수 없다는 믿음이다. 수많은 엔지니어링 실천을 거치며 검증된 이러한 신뢰 구조는 커밋 기록에 붙어 있는 해시 알고리즘이 몇 비트짜리인지와 필연적인 인과관계가 없다. 검증된 고신뢰 코드 호스팅 플랫폼을 배제한다면, 밑단에 양자 내성 암호 알고리즘을 도입하더라도 정상적인 개발자라면 익명의 토르(Tor) 노드나 신뢰할 수 없는 개인 서버에서 핵심 소스코드를 내려받아 실행하지 않을 것이다. 배포 채널의 보안 검토 절차와 접근 통제 수준이야말로 현대 코드베이스 신뢰 메커니즘을 지탱하는 진짜 주춧돌이다.
새 포맷 강제가 20년 쌓아 올린 도구 생태계를 무너뜨린다
향후 Git 3.0에서 SHA-256이 기본 옵션으로 강제 적용되는 순간, 일반적인 명령줄 인터페이스를 통해 초기화되는 모든 신규 프로젝트는 구 생태계와 매끄럽게 호환되지 않는 고립된 섬으로 전락할 위험이 있다. 개발자가 아무런 대비 없이 새 포맷을 아직 지원하지 않는 원격 서버에 코드를 푸시하려고 하면 시스템은 냉혹하고 치명적인 프로토콜 거부 에러를 뱉어낼 것이다. 수많은 일반 사용자가 저장소를 생성할 때마다 내부 해시 데이터 포맷을 수동으로 구별해 지정해야 하고, 클라우드 호스팅 서비스마다 지원 여부와 설정 옵션을 일일이 대조해야 하는 번거로움을 겪게 된다. 전 세계적인 보급률을 자랑하며 ‘설정 없이 바로 동작함’을 미덕으로 삼아온 기반 도구가 이러한 기술적 인지 부담을 일반 개발자에게 떠넘기는 것은 쾌적한 개발자 경험을 심각하게 훼손하는 처사다.
신규 프로젝트보다 기존 레거시 프로젝트의 마이그레이션 비용은 더욱 막대하다. 수만 번의 커밋 기록이 쌓인 기존 저장소에서 핵심 해시 알고리즘을 전면 교체하려면 방대한 서버 연산 자원을 소모해 모든 내부 Git 객체를 하나하나 다시 생성해야 할 뿐만 아니라, 기존의 모든 GPG 및 SSH 커밋 서명이 하룻밤 사이에 무효화된다. 전 세계 여러 시간대에 흩어져 있는 협업자들이 동시에 완벽하게 클라이언트를 업그레이드하지 못하면 전체 저장소의 브랜치 역사가 갈라지는 치명적인 포크 참사가 발생할 수 있다. 과거 이슈 트래커 티켓, PR 댓글, 아키텍처 문서, 사내 메신저 기록 등에 남겨진 수많은 커밋 SHA 링크는 대상을 찾을 수 없는 죽은 링크로 변해버린다. 두 가지 상이한 해시 포맷을 동시에 지원하기 위해 코드 호스팅 플랫폼들은 백엔드에서 고비용의 양방향 미러링 상태를 지속적으로 유지해야 하며, 이는 플랫폼의 작업 부하와 스토리지 비용의 급증으로 이어진다.
서드파티 도구 체인 생태계가 입을 타격 역시 광범위하다. Git 자체는 GPL 라이선스 기반의 독립 실행 바이너리 프로그램으로 제작되어 외부에서 라이브러리 형태로 직접 링크해 호출하기 어려운 구조를 지닌다. 이 때문에 생태계에는 libgit2, JGit, go-git처럼 밑단 파싱 로직을 바닥부터 자체 구현한 서드파티 라이브러리들이 즐비하다. 상업적 후원이나 적극적인 유지보수가 부족한 수많은 오픈소스 라이브러리는 아직 SHA-256의 복잡한 데이터 포맷을 온전히 지원하지 못한다. 시스템 프로세스의 fork-exec 방식으로 공식 Git 바이너리를 직접 호출하지 않는 배포 스크립트, CI/CD 빌드 파이프라인, 정적 코드 분석 도구 등은 새 포맷의 저장소를 만나는 즉시 예외 오류를 일으키며 멈춰 설 것이다. 눈앞에 닥친 이러한 호환성 절벽을 피하기 위해 구글 내부의 시니어 엔지니어들은 환경 변수를 통해 내부에서 새로 생성되는 프로젝트가 기존 SHA-1 포맷을 계속 유지하도록 강제하는 방안을 공개 발표에서 논의하기도 했다. 이 파괴적인 인프라 재건 작업을 최대한 오랫동안 방화벽 바깥에 묶어두겠다는 계산이다.
보안 감사 압박을 해소할 실용적 대안: 독립 트리 해시 헤더
NIST의 SHA-1 폐기 요구라는 지속적인 규정 준수 압박 앞에서도, 전체 저장소의 해시 알고리즘을 통째로 교체하는 것만이 엔지니어링 관점의 유일한 해법은 아니다. 스콧 샤콘을 비롯한 베테랑 개발자들은 현행 방식에 의문을 제기하며 ‘독립 트리 해시 헤더(Independent Tree Hash Headers)‘라는 가벼운 타협안을 코드로 직접 검증하고 제안했다. 이 방안에서는 시스템이 고강도 SHA-256 알고리즘을 사용해 전체 코드 트리 구조의 내용을 독립적으로 다시 해싱하고, 그 결과값을 기존 데이터 서명 객체 내부에 부가적인 검증 헤더 정보로 주입한다. 이러한 이원화 설계를 통해 기존 SHA-1 체계는 가볍고 빠른 코드 내용 주소 지정과 커밋 이력 탐색 역할을 변함없이 수행하고, 새로 추가된 보조 해시 헤더가 변조 방지를 위한 고강도 무결성 검증을 전담한다. 현대 고성능 하드웨어에서 트리 해시를 독립 계산하는 데 드는 오버헤드는 미미하며, 동시에 20년간 축적된 방대한 서드파티 도구 생태계의 호환성을 온전히 지켜낼 수 있다.
해시 알고리즘 교체를 둘러싼 이번 격렬한 노선 대립은 현대 대규모 소프트웨어 인프라 진화 과정에서의 근본적인 가치관 차이를 여실히 보여준다. 전면 전환을 지지하는 진영은 핵심 프로토콜이 미지의 미래 위험에 선제적으로 대비해야 하며, 업계가 일시적인 단기 고통을 감수하고서라도 장기적인 암호학적 신뢰 위기를 매듭지어야 한다고 역설한다. 반면 샤콘을 필두로 한 실용주의 진영은 90% 이상의 일반 개발자가 엄격히 통제된 상용 플랫폼 경계 안에서 일상적인 협업을 수행한다는 점을 직시한다. 그들은 학술 논문 속에서나 존재하는 백도어 공격 기법을 막겠다고 전 생태계가 막대한 호환성 세금을 치러야 할 이유가 없다고 본다. 1%의 극단적인 규정 준수 요구가 99%의 일상적인 개발 환경을 송두리째 뜯어고치라고 강요할 때, 소프트웨어 업계는 보안 방어의 합리적인 경계선이 과연 어디에 설정되어야 하는지 성찰해야 한다. 실제 해커들이 거의 시도하지 않는 고비용 공격 경로를 차단하겠다며 역사적 호환성을 산산조각 내는 전면 교체를 밀어붙이는 것은, 막대한 엔지니어링 파괴력을 대가로 환상에 불과한 안도감을 사는 일에 불과하다.
기술 커뮤니티가 코드 배포 신뢰 채널의 강화 노력을 포기하고 순수하게 해시 알고리즘의 비트 길이만을 겨루는 군비 경쟁에 매몰된다면, 불과 몇 년 뒤 양자컴퓨터의 실질적 연산력이 SHA-256의 암호 장벽마저 위협할 때 또다시 전체 인프라를 찢어발기는 거대한 마이그레이션을 반복해야 할 것이다. 인프라 시스템의 진정한 보안 회복탄력성은 코드 신뢰 네트워크의 실질적인 거점들을 인정하고 활용하는 데서 나오며, 모든 생존 방어의 무게를 최하단 데이터 검증 공식 하나에 몰아넣는 데 있지 않다. 시스템 전체의 보안 수준을 하위 해시 알고리즘의 절대적인 암호 강도와 단순 동일시하는 것이야말로 이번 인프라 격변에서 가장 치명적인 엔지니어링 착각이다.
참고 링크:
- Git 3.0’s upcoming SHA-256 default will be a costly mistake
- Hacker News 토론
- Lobsters 커뮤니티 토론
