🗝️ Apache Basic 인증(.htpasswd) 파일 만드는 법

APR1-MD5 해시로 .htpasswd 생성하는 법

HTTP Basic 인증이란

HTTP Basic 인증은 HTTP 프로토콜 자체에 정의된 가장 단순한 인증 방식입니다. 서버가 보호된 리소스에 대한 요청을 받으면 401 Unauthorized 응답과 함께 WWW-Authenticate: Basic 헤더를 돌려주고, 브라우저는 아이디·비밀번호 입력창을 띄웁니다. 이후 요청부터는 Authorization: Basic base64(사용자명:비밀번호) 헤더가 매 요청에 붙어 전송됩니다. 로그인 세션이나 쿠키 없이도 별도의 애플리케이션 코드 작성 없이 웹 서버 설정만으로 접근을 제한할 수 있다는 것이 장점입니다.

.htpasswd 파일과 서버 설정

.htpasswd는 "사용자명:해시된 비밀번호" 형식의 줄이 나열된 텍스트 파일입니다. Apache는 .htaccess 또는 서버 설정 파일에서 이 파일을 참조해 인증을 처리합니다. 예를 들어 Apache라면 다음과 같이 설정합니다.

AuthType Basic

AuthName "Restricted Area"

AuthUserFile /path/to/.htpasswd

Require valid-user

Nginx는 .htaccess 대신 auth_basic과 auth_basic_user_file 지시어를 서버 블록에 직접 씁니다. 파일 형식은 동일하므로 같은 .htpasswd 파일을 그대로 재사용할 수 있습니다.

APR1-MD5 해시 형식

.htpasswd 파일에 비밀번호를 평문으로 저장하면 안 되므로 해시값을 저장합니다. Apache 전용 방식인 APR1-MD5(htpasswd -m 옵션)는 일반적인 MD5와는 다른, Apache가 자체적으로 변형한 crypt 알고리즘입니다. 결과는 $apr1$salt$hash 형태의 문자열로 나타나는데, 예를 들면 $apr1$Rg9uS37e$vT8OZzXqM3.Dj7L2b1pXe. 같은 모양입니다. $apr1$ 은 알고리즘 식별자, 그 다음이 무작위 salt, 마지막이 실제 해시값입니다. 같은 비밀번호라도 salt가 매번 다르게 생성되므로 생성할 때마다 결과 문자열이 달라지는 것이 정상입니다. 최신 Apache는 더 강력한 bcrypt(-B 옵션)도 지원하지만, APR1-MD5는 여전히 가장 널리 쓰이는 기본 형식입니다.

보안 주의사항

Basic 인증은 반드시 HTTPS와 함께 사용해야 합니다. Authorization 헤더에 담기는 값은 Base64로 인코딩될 뿐 암호화되지 않으므로, HTTP 평문 연결에서는 누구나 패킷을 가로채 아이디·비밀번호를 그대로 복원할 수 있습니다. 또한 APR1-MD5는 반복 연산으로 무차별 대입을 다소 늦추긴 하지만 bcrypt·scrypt 같은 현대적 알고리즘만큼 강하지 않으므로, 서비스 로그인 등 중요한 용도보다는 임시 접근 제한 목적에 적합합니다.

사용자명과 비밀번호만 입력하면 APR1-MD5 해시가 적용된 .htpasswd 한 줄을 바로 만들어주는 도구가 있습니다. 브라우저 안에서만 계산되므로 비밀번호가 서버로 전송되지 않습니다.

🗝️ 이 작업, 도구로 바로 해보세요

Apache Basic 인증(.htpasswd) 파일 만드는 법 — APR1-MD5 해시로 .htpasswd 생성하는 법