HMAC generatorius

Kaip apskaičiuoti HMAC

1. Įklijuok Pranešimas. Webhook atveju tai turi būti neapdorotas užklausos turinys, baitas į baitą.
2. Įvesk Slaptas raktas ir pasirink jo Rakto formatas: Tekstas (UTF-8), Šešioliktainis arba Base64.
3. Pasirink Algoritmas: HMAC-SHA1, HMAC-SHA256, HMAC-SHA384 arba HMAC-SHA512.
4. Rezultatas atsinaujina tau rašant; taip pat gali spustelėti Generuoti HMAC. Gausi HMAC (hex), HMAC (Base64) ir Webhook parašo antraštė (GitHub stiliaus), kiekvieną su mygtuku Kopijuoti.
5. Norint patikrinti gautą parašą, įklijuok jį į Palyginti su tikėtinu parašu (hex, Base64 arba sha256=…). Įrankis parodo, ar jis sutampa.

Pranešimas užkoduojamas UTF-8 tiksliai kaip įvestas, įskaitant tarpus ir eilučių lūžius. Skaičiavimui naudojamas tavo naršyklės Web Crypto API; pranešimas ir raktas niekada nepalieka tavo įrenginio.

Kas yra HMAC

HMAC (maišos pagrindu sukurtas pranešimo autentifikavimo kodas, RFC 2104) sujungia slaptą raktą su maišos funkcija:

HMAC(K, m) = H((K′ ⊕ opad) ‖ H((K′ ⊕ ipad) ‖ m))

čia K′ yra raktas, užpildytas iki maišos bloko dydžio (jei ilgesnis – pirmiausia sumaišytas), o ipad/opad – pastovios konstantos. Tik tas, kas žino raktą, gali sukurti tinkamą pranešimo kodą, o bet koks pranešimo pakeitimas kodą pakeičia visiškai. Todėl HMAC pasirašomi webhook, API užklausos (pavyzdžiui, AWS Signature Version 4) ir HS256 JSON Web Token.

HMAC nėra šifravimas: pranešimas neslepiamas. Tai taip pat nėra slaptažodžio maiša; slaptažodžiams saugoti naudok lėtą funkciją, pavyzdžiui, bcrypt ar Argon2.

Išvesties ilgis priklauso nuo algoritmo: 20 baitų SHA-1, 32 SHA-256, 48 SHA-384 ir 64 SHA-512. HMAC-SHA1 kaip MAC vis dar laikomas saugiu, bet naujoms sistemoms rinkis SHA-256. Rekomenduojamas atsitiktinis raktas, bent tokio ilgio kaip išvestis (32 baitai HMAC-SHA256); hex ar Base64 raktai leidžia tokius atsitiktinius baitus įvesti tiesiogiai.

GitHub webhook patikra

GitHub kiekvieną pristatymą pasirašo tavo webhook paslaptimi ir rezultatą siunčia antraštėje X-Hub-Signature-256 kaip sha256= ir turinio hex HMAC-SHA256. GitHub dokumentacijos pavyzdyje naudojama paslaptis It's a Secret to Everybody ir turinys Hello, World!; įvesk juos čia su HMAC-SHA256 ir antraštė parodys:

X-Hub-Signature-256: sha256=757107ea0eb2509fc211221cce984b8a37570b6d7586c22c46f4379c8b043e17

Palyginimo laukas priima visą antraštės eilutę, reikšmę sha256=… arba tik hex ar Base64 parašą (Stripe, Shopify ir Slack naudoja panašias schemas su savo antraštėmis ir pasirašomomis eilutėmis). SHA-384 ir SHA-512 atvejais įrankis rodo bendrą antraštę X-Signature, nes bendro standarto nėra.

Palyginimas pastoviu laiku

Serveris, parašus lyginantis įprastu eilučių palyginimu, sustoja ties pirmu skirtingu simboliu. Matuojant atsakymo laiką, užpuolikas galėtų atspėti galiojantį parašą po vieną simbolį. Šio įrankio palyginimas patikrina kiekvieną baitą, nesvarbu, koks rezultatas, kaip serveris turėtų daryti su crypto.timingSafeEqual Node.js, hmac.compare_digest Python ar hash_equals PHP.