🗝️ Apache Basic 인증(.htpasswd) 파일 만드는 법

APR1-MD5 해시로 .htpasswd 생성하는 법

사내 테스트 서버나 스테이징 환경에 간단히 아이디·비밀번호 잠금을 걸고 싶을 때 가장 손쉬운 방법이 HTTP Basic 인증입니다. 이 글에서는 Basic 인증의 동작 원리, .htpasswd 파일의 형식, 그리고 실제 서버 설정에 적용하는 방법을 다룹니다.

HTTP Basic 인증이란

HTTP Basic 인증은 HTTP 프로토콜 자체에 정의된 가장 단순한 인증 방식입니다. 서버가 보호된 리소스에 대한 요청을 받으면 401 Unauthorized 응답과 함께 WWW-Authenticate: Basic 헤더를 돌려주고, 브라우저는 아이디·비밀번호 입력창을 띄웁니다. 이후 요청부터는 Authorization: Basic base64(사용자명:비밀번호) 헤더가 매 요청에 붙어 전송됩니다. 로그인 세션이나 쿠키 없이도 별도의 애플리케이션 코드 작성 없이 웹 서버 설정만으로 접근을 제한할 수 있다는 것이 장점입니다.

.htpasswd 파일과 서버 설정

.htpasswd는 "사용자명:해시된 비밀번호" 형식의 줄이 나열된 텍스트 파일입니다. Apache는 .htaccess 또는 서버 설정 파일에서 이 파일을 참조해 인증을 처리합니다. 예를 들어 Apache라면 다음과 같이 설정합니다.

AuthType Basic
AuthName "Restricted Area"
AuthUserFile /path/to/.htpasswd
Require valid-user

Nginx는 .htaccess 대신 auth_basic과 auth_basic_user_file 지시어를 서버 블록에 직접 씁니다. 파일 형식은 동일하므로 같은 .htpasswd 파일을 그대로 재사용할 수 있습니다.

APR1-MD5 해시 형식

.htpasswd 파일에 비밀번호를 평문으로 저장하면 안 되므로 해시값을 저장합니다. Apache 전용 방식인 APR1-MD5(htpasswd -m 옵션)는 일반적인 MD5와는 다른, Apache가 자체적으로 변형한 crypt 알고리즘입니다. 결과는 $apr1$salt$hash 형태의 문자열로 나타나는데, 예를 들면 $apr1$Rg9uS37e$vT8OZzXqM3.Dj7L2b1pXe. 같은 모양입니다. $apr1$ 은 알고리즘 식별자, 그 다음이 무작위 salt, 마지막이 실제 해시값입니다. 같은 비밀번호라도 salt가 매번 다르게 생성되므로 생성할 때마다 결과 문자열이 달라지는 것이 정상입니다. 최신 Apache는 더 강력한 bcrypt(-B 옵션)도 지원하지만, APR1-MD5는 여전히 가장 널리 쓰이는 기본 형식입니다.

보안 주의사항

Basic 인증은 반드시 HTTPS와 함께 사용해야 합니다. Authorization 헤더에 담기는 값은 Base64로 인코딩될 뿐 암호화되지 않으므로, HTTP 평문 연결에서는 누구나 패킷을 가로채 아이디·비밀번호를 그대로 복원할 수 있습니다. 또한 APR1-MD5는 반복 연산으로 무차별 대입을 다소 늦추긴 하지만 bcrypt·scrypt 같은 현대적 알고리즘만큼 강하지 않으므로, 서비스 로그인 등 중요한 용도보다는 임시 접근 제한 목적에 적합합니다.

사용자명과 비밀번호만 입력하면 APR1-MD5 해시가 적용된 .htpasswd 한 줄을 바로 만들어주는 도구가 있습니다. 브라우저 안에서만 계산되므로 비밀번호가 서버로 전송되지 않습니다.