bcryptハッシュアルゴリズムでWordPressのパスワードセキュリティを強化する方法

パスワードのセキュリティについて語るとき、多くの人はパスワードの強度や、ハッカーに推測されやすいかどうかに注目しがちです。しかし、意外と議論されない重要なポイントがあります。それは「パスワードがデータベースにどのように保存されているか」という点です。

WordPressでは、各パスワードは通常、ソルト（salt）を付与した上でMD5ハッシュ化されてからデータベースに保存されます。一見安全に思えますが、実はMD5アルゴリズムには深刻な脆弱性が多数確認されています。カーネギーメロン大学（CMU）ソフトウェアエンジニアリング研究所によれば、MD5は「暗号学的に破られており、今後の使用には適さない」と評価されています。

では、WordPressのパスワードセキュリティをどう改善すればよいのでしょうか。答えは「bcryptアルゴリズム」の採用です。特に、wp-password-bcryptプラグインを利用すれば、誰でも簡単に導入できます。

bcryptはBlowfish暗号をベースとした適応型ハッシュ関数です。計算能力の向上に合わせて反復回数（イテレーション回数）を増やし、処理を意図的に遅くできるため、コンピュータの性能が進化してもブルートフォース攻撃（総当たり攻撃）への耐性を維持できるのが大きな特徴です。

幸い、技術的な知識があまりなくても、WordPressのMD5ハッシュをbcryptに置き換えるのは簡単です。以下の手順に従って進めましょう。

wp-password-bcryptプラグインの導入手順

1. プラグインファイルをダウンロードする

wp-password-bcryptのGitHubページにアクセスし、「Clone or download」ボタンをクリックしてZIPファイルをデスクトップにダウンロードします。

2. 必要なファイルを取り出す

ZIPファイルを解凍し、展開されたフォルダを開きます。必要なのは「wp-password-bcrypt.php」ファイルだけです。

3. mu-pluginsフォルダを作成する

FTPクライアント（またはcPanel）でWordPressサーバーに接続し、「wp-content」フォルダ直下に「mu-plugins」フォルダを作成します。このフォルダは「Must Use Plugins（必須プラグイン）」フォルダとも呼ばれ、ここに配置されたプラグインは自動的に有効化されます。すでに「mu-plugins」フォルダが存在する場合は、この手順は不要です。

4. ファイルをアップロードする

「wp-password-bcrypt.php」ファイルを「mu-plugins」フォルダにアップロードすれば、作業は完了です。

プラグインの仕組みと注意点

wp-password-bcryptプラグインは、ユーザーがログインするたびにそのパスワードをbcryptで再ハッシュ化し、データベースに保存します。設定は一切不要で、すべてバックグラウンドで自動的に動作します。

ただし注意点として、長期間ログインしていない非アクティブなユーザーが多いサイトでは、そうしたユーザーのパスワードは依然としてMD5ハッシュのまま残ります。該当ユーザーが次回ログインした時点で、初めてbcryptに置き換えられます。

また、プラグインをアンインストールしたい場合も簡単です。「mu-plugins」フォルダからファイルを削除するだけでOKです。悪影響は一切なく、サイトはこれまでどおり正常に機能し続けます。

まとめ

そもそもシステム自体が安全でなければ、ユーザーがどれほど自己防衛に努めても無意味です。bcryptアルゴリズムへ切り替えることで、WordPressのパスワードセキュリティを手軽かつ迅速に強化でき、ユーザーアカウントが容易にクラックされるリスクを大幅に減らせます（もちろん、ユーザー自身も強力なパスワードを設定していることが前提です）。今すぐ導入を検討してみてはいかがでしょうか。