Kõik toimub sinu brauseris: sisend, HMAC-i võti ja oodatav räsi ei lahku seadmest.
Mida HMAC tavalisele räsile lisab
HMAC (võtmega räsi-põhine sõnumi autentimiskood) segab räsimisprotsessi salajase võtme. Kui sõnumi SHA-256 tõestab vaid seda, et baidid ei muutunud, siis HMAC tõestab lisaks, et selle looja teadis ühist võtit — nii saab server usaldada, et sissetulev veebikonks pärineb tõesti oodatud saatjalt. Võtmega key ja sõnumiga The quick brown fox jumps over the lazy dog annab HMAC-SHA256 tulemuse f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8.
Tavalisest räsist autentimiseks ei piisa: SHA-256 võib igaüks ümber arvutada, seega ründaja võiks räsi võltsida. HMAC on loodud sellele vastu pidama, sealhulgas pikkuse laiendamise rünnetele, mis murravad naiivseid skeeme hash(saladus + sõnum). Kasuta HMAC-SHA256 API-päringute allkirjastamiseks, veebikonksude kontrollimiseks (Stripe, GitHub, Slack) ja sõnumipõhiste märkide tuletamiseks. Võti peab jääma salajaseks ning olema pikk ja juhuslik.
Kuidas HMAC-i arvutada
- Vali HMAC-algoritm: SHA-1, SHA-256 või SHA-512.
- Sisesta salajane võti maskeeritud võtmeväljale.
- Trüki või kleebi autentitav sõnum.
- Võrdle allkirja sellega, mille sinu server vastu võtab.
Korduma kippuvad küsimused HMAC-i kohta
Miks vajab HMAC võtit?
Võti muudab avaliku sõrmejälje autentimistõestuseks: sobiva MAC-i saavad luua ainult pooled, kes jagavad saladust.
HMAC-SHA1 või HMAC-SHA256?
HMAC-SHA256 on veebikonksude ja päringute allkirjastamise kaasaegne vaikevalik. HMAC-SHA1 esineb veel vanemates protokollides ja on ühilduvuse jaoks vajadusel vastuvõetav.
Kas HMAC on krüpteerimine?
Ei. See ei peida sõnumit, vaid tõestab ainult terviklikkust ja autentsust. Konfidentsiaalsuse jaoks krüpteeri eraldi.
Kõik toimub sinu brauseris: sisend, HMAC-i võti ja oodatav räsi ei lahku seadmest.
