Git 3.0의 SHA-256 기본 전환은 값비싼 실수라는 주장

News Alerts

My alerts

All alerts

해커뉴스

640x480 VGA 드라이버를 SystemVerilog 카운터로 직접 만든 DE10-lite 랩 노트 46바이트 Forth부터 122줄 J 인터프리터까지, 작은 프로그램 예찬 LLM이 전부 작성한 '가장 빠른 정렬 맵' bbtree, 해커뉴스에서 마케팅 논란으로 번져 EPFL, 뇌 영역 간 동기화를 읽는 200µW 이식형 뉴럴칩 LogSync 공개 SpeedCrunch 1.1, 10년 만의 업데이트로 연산 순서 버그까지 고쳤다 HFGCS 11175 kHz 긴급행동메시지를 청취·해독해 공개하는 missileer.watch 화제 미국 창작 산업 4년간 20만 일자리 증발, AI는 얼마나 책임인가 Dan Luu "AI로 예전엔 1년 걸리던 프로젝트가 몇 시간이면 된다, 더 야심차게 만들자"힙도 GC도 수명 표기도 없는 시스템 언어 Goose, 자체 벤치마크서 C++보다 3.3배 빠르다고 주장 PHP 취약점 검증 실험 'Steal My Bitcoin', 서버에 $500 상당 비트코인 숨겨두고 5일째 무성공 190살 거대거북 조너선, 세인트헬레나 5펜스 동전 뒷면 도안으로 등록 TornadoVM 7 공개, JDK 21 이상에서 자바 코드를 CUDA·Metal GPU에서 실행 Dream Labs, 처음 보는 로봇을 제어하는 World Action Model Dream-1 공개. $90M 시드와 시간당 $3 공개 API Nvidia 3000번대 GPU 언락 커널 모듈 등장, BF16 FMA 발행 속도 2배 Roku, 개발자 저장소 전체를 GitHub에서 GitLab으로 이전 26년째 무료로 돌아가는 다이내믹 DNS FreeDNS, 해커뉴스에서 다시 떠올라 직접 장당 1센트씩 써가며 정리한 AI 이미지 생성 실전 가이드, 모델명은 설정에 두고 응답은 로그로 남겨라 Brotli 디코더 CVE-2026-111497, Node2Shell에서 HTTP2Shell로 확대 사우샘프턴대 더글러스 로스의 양자물리 에세이, 해커뉴스에서 숨은 변수와 초결정론 논쟁 다시 소환 노스웨스턴대, 단일 양전자를 한 달간 가둬 양자 상태 측정에 성공 VLC 가우시안 블러를 C#으로 한 줄씩 포팅해보니 C보다 23% 느림, 두 줄 고쳐 8% 차이까지 좁혀 Show HN에 공개된 에이전트·터미널 멀티플렉서 Corgi, 토큰 사용량과 워크트리를 한 화면에 모은다 Roc로 쓴 DEFLATE, libdeflate보다 중앙값 2.6% 느린 수준까지 따라잡음 OBS Studio 33 공개, CEF 150으로 대폭 업데이트하고 플러그인 로딩 구조 전면 개편 플라크는 그대로 두고 뇌 미세아교세포만 일시 제거했더니 알츠하이머 생쥐 수면이 하루 2시간 이상 회복됨 퀘이크 맵을 만들고 싶어 직접 에디터를 짠 사람, 15년째 TrenchBroom을 굴리는 Kristian Duske 인터뷰 Astral, uv와 ty 실험적 통합 공개: uv check 하나로 환경 준비와 타입 검사까지 음악은 왜 나무를 낯설게 만드는가: 헨리크 칼손의 에세이 'How is music possible'rqlite 개발자 필립 오툴, 2014년부터 이어진 분산 SQLite 12년 역사 정리 PHP2Shell 취약점으로 인터넷 70% 흔들림, LLM이 묵혀둔 이론적 결함을 하루 만에 익스플로잇으로 바꿈 백색소음기 대신 작은 공기청정기, 45dB에 34 CFM으로 연기까지 잡는다 1980년 스탠퍼드 AI 열풍 취재한 Byte 미게재 원고, 38년 만에 공개 Show HN: 실제 웹페이지를 스와이프로 넘기는 Swurf, iframe 로딩에 관심사 크롤러 추천 소닉 06의 최다 사용 셰이더는 Billboard02, 잘린 그래픽 기능은 파일에 남아 있었다 Show HN: Impossible Machines, 폰에서 기계 장치를 선언적으로 조립하는 물리 시뮬레이터 TV 홈스크린을 게임보이 컬러 포켓몬 마을로 바꾼 프로젝트, 설정 바꾸려면 체육관 관장을 이겨야 OpenAI, 프론티어 모델 훈련 환경 인터넷 차단 상시 시행. DNS 설정 오류 사고 후 10월 1일 RL 훈련 재개 CVE 누적 394,368건 시각화한 CVE Tracker, 해커뉴스서 '숫자는 부풀려졌다' 논쟁 Block, 텍스트 없이 인간 음성만으로 학습한 풀듀플렉스 음성 모델 Dessa 공개 Google, 개인정보처리방침 개정으로 Gmail·Google Photos 데이터를 맞춤 광고에 쓸 수 있게 됨 연 15만 달러짜리 Looker를 HTML 파일 묶음으로 바꿀 수 있을까 UUIDv7은 시간순 정렬과 단조 증가를 보장하지 않음, 시계가 뒤로 가면 타임스탬프가 폭주함 Gemma-4-26B 생각 토큰을 평균 38.9% 줄인 ThinkingCap 공개, 정확도 하락은 0.15pp 케빈 베이컨은 할리우드 중심 175위이고 1위는 샘 잭슨임 캐나다 C-22 법안, 상원 심의 중 암호화 백도어와 메타데이터 1년 보관 논란 음정 이탈 구간을 보여주는 노래 연습 앱 OnKey 공개, 음정 감지에 CREPE 모델 사용 Kimi K3.1 Pro 공개, 터미널 벤치마크에서 GPT-6 Astra 앞서고 가중치는 11월 4일 공개 예정 Calif, Hexacon에서 iPhone 18 Pro 대상 Signal 1-click과 iMessage 1-click 익스플로잇 시연 크롬, HTML을 캔버스에 그리는 HTML-in-Canvas API 오리진 트라이얼 시작 재러드 커슈너, 바너티 페어의 휴대폰 해킹 보도 전면 부인 사람이 떠올리기 어려운 연구 방향을 골라내는 AI 아이디어 샘플러 Claude Fable 5.1이 SVG 그림에 메시지를 숨기고 다른 세션이 스크린샷으로 복호화함 jank, C++ 인터롭을 내세운 네이티브 Clojure 방언 프런티어 모델 기업이 직접 사업을 하지 않는 이유를 두고 HN에서 논쟁이 붙음 Local Wikipedia: 도보 30분 거리 안의 위키백과 문서를 보여주는 사이트, 댓글에선 Special:Nearby와 같다는 지적 Railpass: 유튜브 열차 창밖 영상을 모아 노선별로 보여주는 웹사이트 다익스트라, 1978년 글에서 자연어 프로그래밍은 기계 부담만 키운다고 반박 ZFS 내부 구조를 전시처럼 둘러보는 인터랙티브 사이트 Uberblok, Show HN으로 공개됨 AI가 과학 문헌이라는 정보 공유지를 울타리 치듯 사유화할 수 있다는 arXiv 논문 고등학생 때 OpenGL 공부로 시작한 C# 3D 오픈월드 게임 Hedra 저장소 공개 Claude가 오픈소스 123개 라이브러리의 어셈블리 코드 보안 속성을 형식 증명함 Docker 내부 구조 정리: 컨테이너는 커널 기능 5개를 묶은 일반 프로세스임 내 이름으로 열린 캐시앱 계정 탓에 무고한 여성이 컴퓨터 사기 혐의로 체포됨 NetHack Gnomish Mines 동굴 생성 원리, 셀룰러 오토마타로 만드는 과정 해설 네덜란드 정보기관, 쿠슈너 휴대폰 해킹해 두바이 계좌 자금 흐름 포착 마이크로소프트, 이미 산 Xbox 게임 스트리밍에 시간당 최대 40센트 요금 부과 AI 모델 12개가 같은 '논쟁적' 답: 사람은 진실보다 소속을 따른다 GNU Taler, 독일에 운영사 Taler Operations AG 설립하고 BaFin에 전자화폐 인가 신청 예정 Arc 브라우저 2026년 12월 종료, 후속작 Dia로 이전 권유 엔비디아, 자율 AI 에이전트 무리를 격리 실행하는 오픈소스 런타임 OpenShell 공개 안드로이드 기기에서 iOS 16.5 사용자 공간을 구동하는 오픈소스 XNU 커널 공개 PHP RCE 엠바고 파기 논란, HN 작성자 사과문 올려 남의 이름으로 열린 Cash App 계정 때문에 6년형 위기에 놓인 여성 Crystal 1.22.0 출시, aarch64-linux Tier 1 승격과 파이프 오류 시 즉시 종료로 바뀐 동작 earstrip, 3.7M 맵 폴리곤을 489ms에 삼각분할함 earcut보다 C++에서 14% 빠름 pwn.watch, 진행 중인 보안 사고 36건과 패치 현황을 추적하는 사이트, 해커뉴스에서 화제 Amazon, PHP2Shell 공개 4일 전 익스플로잇 시도 포착 Trend Micro ZDI 보안 보고서 여러 건이 실수로 Linux 커널 공개 메일링 리스트에 올라감 빌보드 상위곡 50년 비교로 본 녹음 음악의 기계적 정렬, 그리디피케이션 논쟁 Quad9, 프랑스 법원 차단 명령에 반발해 11월 24일부터 프랑스 내 무료 DNS 서비스 중단 Codex가 만든 Switch 2 탈옥 도구 ns2jb 공개, Switch 1 게임의 정수 오버플로 활용 eMudhra, 글로벌 SSL/TLS 인증서 사업에서 철수 발표 ThinkPad 750C, 손상된 BIOS를 배터리 검사 때문에 다시 플래시하지 못하는 사연 Rust 언어팀, 스마트 포인터를 내장 참조처럼 쓰게 하는 Beyond the & 설계 공개 eMudhra 중간 인증기관 침해로 Go, Gentoo, uv 등 CA 인증서 차단과 업데이트 확산 Omnara, Claude Managed Agents 대안으로 오픈소스 공개 생각을 소리 내어 말하면 퍼즐 풀이가 나아진다는 경험과 근거 LLM에게 확신도 점수를 맡기면 안 되는 이유 OpenAI 공식 CLI에 명령어 검색 기능 추가, HN에서는 Codex와의 혼동 지적 Harvey, 공개된 o(n log n) 정수 곱셈 알고리즘 주장이 그럴듯하다고 평가 Qwen2.5-Coder 0.5B를 미세조정해 셸 없이 터미널 화면을 예측하게 만든 WorldTUI AI 에이전트 권한 관리 플랫폼 Alter 출시, 자격증명을 에이전트 대신 프록시가 보관 에이전트 코딩으로 코드가 점토처럼 쉽게 바뀌게 됨, 장인과 공장 두 가지 작업 방식 제시 Windows 11에 남은 Windows 95 메모리 관리자, 왜 아직 들어 있나 Apple, macOS Golden Gate에서 모든 메뉴에 아이콘을 기본으로 넣던 방식 되돌려 PHP 취약점, 공개 PoC는 바닐라 서버에서 동작하지 않아 악용이 어렵다는 주장 구글 러스트 스타일 가이드 공개, 모듈 구조부터 빌림과 enum 설계까지 지침 정리 PingCAP TiDB Cloud 해킹 주장, 고객 API 키 11만 건과 10.6TB 데이터 유출 공개 GitLab, 인증 없이 서버 코드 실행이 가능한 정규식 정수 오버플로 포함 긴급 패치 배포 mitmproxy에 --emudhra 옵션 추가, 침해된 eMudhra 중간 CA 키로 TLS 인증서 서명 가능해짐

Git 3.0의 SHA-256 기본 전환은 값비싼 실수라는 주장

Git 3.0이 기본 해시를 SHA-1에서 SHA-256으로 바꿀 예정이고, GitButler의 Scott Chacon은 이를 이해할 수 없이 값비싸고 궁극적으로 가치 없는 변경이라고 주장함.
SHA-1은 2017년 SHAttered, 2020년 SHA-1 is a Shambles 논문으로 충돌 공격이 이론적으로 가능해졌지만, 실제로 악용된 사례는 없음.
SHA-1의 160비트 출력에서 우연한 충돌이 일어나려면 단일 프로젝트에 약 1.4 septillion(1.4×10^24)개 파일이 필요하고, Git 저장소 전체 역사에서 한 번도 일어난 적이 없음.
의도적인 충돌 생성은 GPU 팜으로 수만 달러가 드는데, SHA-256에는 그런 성질이 없음.
저장소 전체를 재해싱하면 이메일, Slack, 버그 트래커, CI/CD 캐시와 보안 스캔에 박힌 커밋 해시 참조가 전부 깨지고, 옛 해시에서 새 해시로 조회하는 지원이 없음.

Hacker News opinions

모든 저장소는 SHA1이거나 SHA256인데, 전체를 재해싱하면 해결됨. 각자 독립적으로 할 수 있고, 대부분 git 3.0을 필수 버전으로 두고 새 저장소를 받아갈 것 같음. 커밋 서명은 역참조해야 하는데 git 3에 하위 호환 참조가 있겠지?

잠깐, 전체 재해싱이라니 히스토리를 전부 재작성한다는 거임? 나는 해시로 커밋을 참조하는 걸 다루는데, Yocto 프로젝트마다 그런 참조가 수천 개는 있음.

'새 포맷으로 전부 다시 쓰고, 새 포맷에서 데이터가 손실되니까 옛 포맷도 영원히 유지한다'는 마이그레이션임.

이메일이나 Slack, 버그 트래커에 커밋 해시 참조해둔 거 있지? CI/CD 캐시 판단이나 보안 스캔에 쓰이는 곳은 더 심함. 재해싱하면 그 외부 참조가 전부 깨지는데, 옛 해시에서 새 해시로 조회하는 지원이 없음.

작은 git/jj 포지를 운영하는데 이미 이 문제로 고통스러움. GitHub는 어떻게 감당할지 상상이 안 감.

SHA256 in git은 IPv6가 될 조짐임. 하위 호환 안 되는 방식으로 구현됐고, 이점은 모호하고, 따라와야 할 도구는 많은데 움직임이 안 보임.

이점이 모호하다는 건 IPv6에는 전혀 해당 안 되는 말임.

IPv6와 다른 건 네트워크 효과임. 일부 호스트가 IPv4만 있으면 완전한 연결을 위해 IPv4가 필요하고, 다들 IPv4를 갖고 있으면 당장 옮길 이유가 없음. Git은 저장소별로 독립적으로 업데이트되니까 그 효과가 없고, Python 2에서 3 마이그레이션에 가깝다고 봄.

Y2K FUD 같음. SHA-256을 기본으로 안 하면 아무도 안 바꾸고, SHA-1이 10년 뒤 깨지면 그날 다 같이 바꿔야 하는데 GitHub는 SHA-256을 구현 안 해뒀을 거임. git 3.0 쓰고 안 되면 config로 SHA-1로 되돌리면 됨. 환경변수 하나 추가하는 일임.

그렇게 할 수 있는 건 맞는데 기본값이 문제임. 사람들이 그냥 실행하면 도구, 라이브러리, 서버와 호환 안 되는 저장소를 갖게 됨. 옵션인 것과 기본값인 건 완전히 다름.

분산 버전 관리에서 '너'가 누구냐는 게 문제임. 지금 프로젝트와 상호작용하는 사람뿐 아니라 앞으로 상호작용하길 바라는 모든 사람임. 개인 머신에서 brew update 한 번 하는 비용이 아니라, 거의 무한한 인구를 이 마이그레이션에 커밋하는 비용을 따져야 함.

한 사람이 고치기는 쉽지만 git 생태계 전체는 어려움. GitHub, 대형 사내 저장소, CI/CD, 서브모듈 쓰는 프로젝트가 다 엮여 있음.

Y2K는 FUD가 아니었음. 실제였고 날짜 문제는 앞으로도 예약돼 있음.

SHA-1이 10년 뒤 깨져서 하루아침에 다 바꿔야 한다는 시나리오는, 글쓴이가 말하는 대로 실제로는 안 일어남. 해시가 '깨진' 게 실무에서 문제가 되지 않고, 진짜 공급망 보안은 파일 해시와 무관함.

이미 깨진 건 맞지만 git 충돌을 만드는 건 저장소 메타데이터 때문에 훨씬 어려움. PDF 같은 건 같은 해시로 쉽게 만들 수 있어도 git에서 유용하게 쓰기는 어려움. 그래도 더 강한 해시로 옮기는 건 좋은 생각임. 마이그레이션이 어렵다고 안 할 일은 아님.

SHA-1과 SHA-256 모드를 훨씬 호환되게 만들면 안 되나. SHA-256 객체가 SHA-1 객체를 참조할 수 있게 하되, 그 객체가 충돌 쌍이면 진짜 문제임. 리눅스가 옮긴다면 두 날짜를 정해서 그 사이에 제출할 객체 해시 목록을 확정하고, 이후엔 목록에 없는 SHA-1 객체를 안 받으면 새 충돌을 못 넣음.

Emily의 발표가 해시 혼용 문제를 잘 정리해놨음. youtu.be/eJJp0RE7cd4

날짜가 커밋 안에 들어 있음. 커밋 날짜가 진짜인지 아는 유일한 방법이 해시임. SHA-1 해시를 마음대로 위조할 수 있으면 torvalds/linux와 같은 SHA-1을 가진 저장소를 만들 수 있고, 깊은 히스토리 비교 없이는 못 알아챔. SHA-1 커밋이 하나라도 있는 저장소는 전부 SHA-1인 저장소만큼 약하다고 봄.