비밀번호 보안을 이야기할 때 우리는 흔히 비밀번호 자체의 강도나 해커가 쉽게 추측할 수 있는지 여부에만 집중합니다. 그러나 간과되기 쉬운 중요한 요소가 하나 있습니다. 바로 비밀번호가 데이터베이스에 어떤 방식으로 저장되는가입니다.
워드프레스(WordPress)에서는 비밀번호가 일반적으로 솔트(salt) 처리된 후 MD5 해싱을 거쳐 데이터베이스에 저장됩니다. 겉보기에는 문제없어 보이지만, MD5 알고리즘은 이미 수많은 취약점이 알려진 해시 함수입니다. 실제로 카네기멜론대학교(CMU) 소프트웨어 공학 연구소는 MD5에 대해 "암호학적으로 깨졌으며 더 이상 사용해서는 안 된다"고 명시했습니다.
bcrypt란 무엇인가?
그렇다면 워드프레스 비밀번호 보안을 개선하려면 어떻게 해야 할까요? 답은 bcrypt 알고리즘을 사용하는 것입니다. 특히 wp-password-bcrypt 플러그인을 활용하면 누구나 손쉽게 적용할 수 있습니다.
bcrypt는 Blowfish 암호를 기반으로 하는 적응형 해시 함수입니다. 시간이 지남에 따라 반복 횟수(iteration count)를 늘려 해싱 속도를 의도적으로 늦출 수 있기 때문에, 컴퓨팅 성능이 아무리 발전하더라도 무차별 대입(brute-force) 공격에 대한 저항력을 꾸준히 유지할 수 있습니다.
wp-password-bcrypt 설치 방법
다행히도 기술 지식이 많지 않아도 MD5 해싱을 bcrypt로 교체하도록 워드프레스를 쉽게 업그레이드할 수 있습니다. 아래 단계를 따라 해보세요.
1단계: 플러그인 파일 다운로드
wp-password-bcrypt의 GitHub 페이지로 이동한 뒤, "Clone or download" 버튼을 클릭하여 ZIP 파일을 내려받습니다.
2단계: PHP 파일 추출
ZIP 파일의 압축을 풀고 폴더를 열면 여러 파일이 보일 텐데, 실제로 필요한 것은 "wp-password-bcrypt.php" 파일 하나뿐입니다.
3단계: mu-plugins 폴더 생성
FTP 프로그램(또는 cPanel 파일 관리자)으로 워드프레스 서버에 접속한 후, "wp-content" 폴더 아래에 "mu-plugins" 폴더를 생성합니다. 이 폴더는 "Must Use Plugins(필수 사용 플러그인)" 폴더라고 불리며, 여기에 넣은 플러그인은 관리자 화면에서 활성화하지 않아도 자동으로 작동합니다. 만약 "mu-plugins" 폴더가 이미 존재한다면 이 단계는 건너뛰어도 됩니다.
4단계: 파일 업로드
"wp-password-bcrypt.php" 파일을 "mu-plugins" 폴더에 업로드하면 설치가 완료됩니다.
플러그인의 작동 방식과 주의 사항
wp-password-bcrypt 플러그인은 사용자가 로그인할 때마다 기존 비밀번호를 bcrypt 방식으로 재해싱하여 데이터베이스에 저장합니다. 별도의 설정이 필요 없으며, 모든 과정이 백그라운드에서 자동으로 처리됩니다.
다만 한 가지 유의할 점이 있습니다. 사이트에 오랫동안 로그인하지 않은 비활성 사용자가 많다면, 해당 계정의 비밀번호는 여전히 MD5 해시 상태로 남아 있을 수 있다는 것입니다.
플러그인을 제거하고 싶다면 "mu-plugins" 폴더에서 해당 파일을 삭제하기만 하면 됩니다. 부작용 없이 사이트는 평소와 같이 정상적으로 작동합니다.
결론
시스템 자체가 안전하지 않다면, 사용자가 아무리 강력한 비밀번호를 만들고 스스로를 보호하려 노력해도 소용이 없습니다. bcrypt 알고리즘으로 전환하면 워드프레스의 비밀번호 저장 방식을 근본적으로 개선할 수 있으며, 사용자 계정이 쉽게 크랙되는 위험을 크게 줄일 수 있습니다(물론 사용자가 강력한 비밀번호를 함께 사용하고 있다는 전제하에). 지금 바로 몇 분 만에 적용할 수 있는 이 방법으로 사이트 보안을 한 단계 끌어올려 보세요.