워드프레스 2단계 인증(2FA): 로그인 보안을 완벽하게 지킬 수 있을까?

간단한 질문 하나 드릴게요.

밤에 얼마나 푹 주무시나요?

좀 이상한 질문이라는 건 알지만, 이 글을 끝까지 읽고 나면 왜 이런 질문을 했는지 이해하실 겁니다.

일단은...

워드프레스 2단계 인증(Two-Factor Authentication)에 대한 유용한 정보를 찾고 계신다면, 다음 상황이 낯설지 않은지 확인해 보세요.

보안 플러그인에서 워드프레스 사이트 로그인 페이지로 유입되는 트래픽이 비정상적으로 많다는 알림을 받았다
봇이 사이트 해킹을 시도하고 있다는 경고 메시지를 받았다
보안 플러그인으로부터 로그인 보호 조치가 필요하다는 안내를 받았다

그래서 로그인 보호 방법을 찾아보기 시작했는데, 어디를 봐도...

모든 블로그와 유튜브 영상에서 워드프레스 2단계 인증 설치를 추천하고 있더군요.

아마 그렇게 워드프레스 2단계 인증을 검색하기 시작하셨을 겁니다.

이 글에서는 다음 내용을 다룰 예정입니다.

워드프레스 2단계 인증이란 무엇인가
왜 사용해야 하는가
빠르고 쉬운 워드프레스 2FA 설치 방법
어떤 워드프레스 2단계 인증 플러그인을 사용해야 하는가

바로 시작해 보겠습니다.

워드프레스 2단계 인증(2FA)이란 무엇인가?

사이트의 안전이 플러그인 하나에 달려 있다고 생각하시나요?

반은 맞고 반은 틀린 말입니다.

사실 사이트의 보안은 대부분 여러분의 몫입니다. 직접 조치를 취하고 워드프레스 사이트에 방어 체계를 구축해야 합니다.

그 좋은 예가 바로 워드프레스 2단계 인증입니다.

곧 그 이유를 알게 되실 겁니다.

워드프레스 2단계 인증은 비밀번호 외에 로그인 페이지에 추가 보호 계층을 더하는 보안 조치입니다.

워드프레스 2FA를 적용하면 다음 상황이 사실상 불가능해집니다.

비밀번호가 유출되거나 추측당했더라도 해커가 사이트를 탈취하는 것
무차별 대입 공격(brute force)을 시도하더라도 봇이 로그인 페이지에 침입하는 것

워드프레스 2FA를 설정하면 여전히 아이디와 비밀번호로 로그인해야 합니다. 하지만 그 다음에는 본인임을 확인할 수 있는 추가 정보가 필요합니다.

워드프레스 2단계 인증(2FA): 로그인 보안을 완벽하게 지킬 수 있을까?

어떤 추가 정보일까요?

보통 다음과 같은 것들이 사용됩니다.

본인만 접근할 수 있는 기기로 전송되는 OTP(일회용 비밀번호)
이메일로 전송되는 시간 기반 OTP
추가 비밀번호 또는 PIN
설치 시점에 직접 설정하는 보안 질문 (권장하지 않음)

워드프레스 2단계 인증을 사용해야 하는 진짜 이유는, 사용 중인 비밀번호가 수없이 많은 방법으로 해킹될 수 있기 때문입니다. 실제로 비밀번호 해킹 피해는 계속 증가해 2021년에는 연간 세계 경제에 6조 달러의 손실을 입힐 것으로 추정된 바 있습니다.

다시 한번 물어볼게요. 밤에 얼마나 푹 주무시나요?

냉정한 현실: 비밀번호 도난은 생각보다 훨씬 쉽습니다. 게다가 여러분의 팀원과 사용자 대부분도 무차별 대입 알고리즘과 레인보우 테이블을 갖춘 해커에게 쉽게 뚫리는 매우 약한 비밀번호를 사용하고 있습니다.

단, 사이트에 2FA를 설치하는 것이 강력한 비밀번호의 대체제는 아닙니다. 여전히 충분히 강력한 비밀번호를 만들어 사이트를 보호해야 합니다.

이제 워드프레스 2단계 인증이 무엇이고 어떻게 작동하는지 이해하셨으니, 사이트에 실제로 설정하는 방법을 알아보겠습니다.

워드프레스 2단계 인증 설치 방법

워드프레스 2단계 인증을 설치하는 유일한 방법은 서드파티 플러그인을 활용하는 것입니다. 워드프레스 기본 설치에는 로그인 페이지용 2FA 보호 기능이 포함되어 있지 않습니다. Softaculous 설치 환경에서 제공되는 것이라곤 로그인 시도 횟수 제한 정도입니다.

하지만 기본 워드프레스 설치 환경에서는 그것조차 큰 도움이 되지 않습니다.

그럼 어떻게 해야 할까요?

사이트에 워드프레스 2FA를 설치하는 가장 좋은 방법은 보안 플러그인을 활용하는 것입니다.

방법은 두 가지가 있습니다.

강력한 보안 기능을 갖춘 올인원 보안 솔루션 설치
워드프레스 2FA 전용 플러그인 사용

이 글에서는 두 가지 옵션을 모두 살펴보겠습니다.

다른 선택지: 그 밖의 워드프레스 2FA 플러그인들

워드프레스 2단계 인증 플러그인은 종류가 매우 다양합니다. 대부분은 단 하나의 기능에만 집중하며, 그 기능을 잘 수행합니다. 겉보기에는 합理적인 선택처럼 보입니다.

하지만 실제로는 그렇지 않습니다.

워드프레스 2FA 전용 플러그인은 사이트에 단 하나의 보안 계층만 제공합니다.

물론 이미 다음과 같은 기능의 플러그인을 사용 중이라면,

악성코드 검사
악성코드 제거
워드프레스 보안 강화(hardening)

여기에 워드프레스 2단계 인증 기능만 추가하고 싶은 것이라면, 전용 플러그인을 따로 설치하는 것도 나쁘지 않습니다.

아니면 오늘부터 MalCare를 사용하면서 여섯 개의 플러그인을 따로 관리하는 번거로움에서 벗어날 수도 있습니다.

참고로, 신뢰할 수 있는 로그인 보호 및 2단계 인증 워드프레스 플러그인 5종을 소개합니다.

#1 MalCare

이미 이 글에서 다룬 옵션입니다.

솔직히 말하면, MalCare를 다른 워드프레스 2단계 인증 플러그인과 나란히 두는 건 조금 불공평하기까지 합니다.

MalCare는 사실 워드프레스 보안을 위한 종합 솔루션입니다.

워드프레스 보안이 처음이고 믿을 수 있는 간편한 솔루션을 원한다면, MalCare 사용을 강력히 추천합니다.

“우리는 고객이 정말 중요한 일, 즉 사업에 집중할 수 있도록 워드프레스를 쉽게 사용할 수 있게 만드는 것을 목표로 합니다. MalCare의 철학은 모든 워드프레스 사이트 운영자에게 간편한 원클릭 보안을 제공하는 것입니다. 이를 위해 더 나은, 더 신뢰할 수 있는 보안 조치를 끊임없이 개발하고 있습니다.” – MalCare CEO 아크샤트 초우다리(Akshat Choudhary)

이 말이 마음에 들지 않는다면, 어떤 말이 마음에 드실지 모르겠네요!

25만 개 이상의 워드프레스 사이트와 함께 MalCare를 무료로 사용해 보세요.

#2 Two-Factor

Two-Factor는 필요한 기능을 깔끔하게 처리해주는 훌륭한 무료 플러그인입니다. 워드프레스 사용자 프로필 페이지에서 2FA 설정을 직관적이고 간편하게 구성할 수 있으며, 다음 기능을 지원합니다.

이메일로 OTP 수신
Google Authenticator로 OTP 수신

가장 좋은 점은 무엇일까요?

2차 인증 수단으로 로그인할 수 없는 상황에 대비해 백업 코드를 생성할 수도 있습니다.

유일한 단점은 전역(global) 설정이 없다는 점입니다. 즉, 관리자가 모든 사용자에게 개별적으로 2FA를 활성화해야 합니다.

#3 WP 2FA

WP 2FA는 워드프레스 2단계 인증을 설치할 수 있는 또 다른 무료 플러그인입니다. WP 2FA는 WPWhiteSecurity 팀이 개발했습니다. 참고로 WPWhiteSecurity 역시 MalCare로 보호받고 있는 곳입니다.

이것은 지금까지 만들어진 2단계 인증 플러그인 중 가장 간단한 것 중 하나입니다.

사용자 경험을 극도로 단순하게 만드는 데 중점을 두었기 때문에, 당연히 모든 사용자를 단계별로 안내하는 설정 마법사가 제공됩니다. 기술적 지식이 전혀 필요 없습니다(MalCare와 마찬가지입니다).

다양한 OTP 옵션 중에서 선택할 수 있으며, 관리자 계정에서 모든 사용자에게 2FA를 필수로 설정할 수도 있습니다.

이 플러그인을 설치하신다 해도 불만은 없을 겁니다.

#4 Google Authenticator

Google Authenticator는 우리가 처음 사용해본 2FA 플러그인입니다.

이 플러그인 역시 무료이며, 가장 심플하고 기본적인 워드프레스 2FA 플러그인입니다. 플러그인 설치 후 프로필 페이지로 이동해 Google Authenticator 설정을 활성화하고, 스마트폰의 Google Authenticator 앱으로 표시되는 QR 코드를 스캔하면 됩니다.

다만 이 플러그인을 사용하지 말아야 할 이유도 꽤 많습니다.

첫째, Google Authenticator와만 호환되며 다른 인증 앱은 지원하지 않습니다.

또한 전역 설정 기능이 없어, 모든 사용자의 2FA를 수동으로 설정해야 합니다.

백업 코드도 제공되지 않습니다. 따라서 스마트폰을 분실하면 FTP나 SSH를 통해 플러그인을 직접 삭제해야 하는 번거로움이 생깁니다.

#5 Unloq Two Factor Authentication

Unloq의 워드프레스 2단계 인증 플러그인도 좋은 선택지입니다.

2단계 인증 설치에 필요한 표준 옵션을 모두 갖추고 있으며, 중앙 대시보드에서 모든 사용자에게 2FA 설정 초대장을 보낼 수도 있습니다. 매번 OTP를 입력하는 대신 푸시 알림으로 계정을 인증할 수 있는 점도 장점입니다.

모바일 기기 OTP와 이메일 OTP를 모두 지원하는 점도 유용한 기능입니다.

유일한 걸림돌은?

모든 작업을 Unloq 전용 모바일 앱으로 처리해야 한다는 점입니다.

썩 마음에 들지 않네요.

이제 무엇을 해야 할까?

이제 워드프레스 2단계 인증이 무엇인지, 그리고 사이트에 어떻게 설정하는지 완전히 이해하셨습니다. 다음으로 해야 할 일은 다음과 같습니다.

2FA만으로는 부족하다는 사실을 깨달아야 합니다.

진심으로 당부드립니다. 2FA 플러그인에만 의존하며 사이트가 안전하다고 생각하면 안 됩니다.

안전하지 않습니다.

그럼 어떻게 해야 할까요?

간단합니다. 사이트를 지속적으로 모니터링하는 악성코드 검사기를 두고, 감염되더라도 즉시 복구할 수 있을 만큼 믿음직한 악성코드 제거 프로그램을 설치하세요.

네, 로그인 페이지를 지켜줄 방화벽도 필요합니다.

하지만 가장 중요한 것은 워드프레스 보안 강화 플러그인으로 방어 체계를 더욱 탄탄하게 다지는 것입니다.

대부분이 모르는 사실 하나 알려드릴게요.

해커들은 여러분의 무지에서 먹고삽니다. 대부분의 해킹은 단순히 워드프레스 사용자들이 매일 직면하는 위협을 이해할 시간을 내지 않기 때문에 발생합니다.

그러니 잠시 시간을 내 뉴스레터를 구독하세요. 스스로 배우세요. 우리의 이메일은 짧고 유익하며 언제나 도움이 됩니다.

아니면 그냥 MalCare를 설치하고 조금 더 깊은 잠을 자는 방법도 있습니다.

다음에 또 만나요!