HMAC generaator ja kontrollija

HMAC (räsipõhine sõnumi autentimiskood) on võtmega krüptograafiline konstruktsioon, mis kombineerib salajase võtme sõnumiga räsifunktsiooni, näiteks SHA-256, kaudu. Erinevalt tavalisest räsist, mille igaüks saab ainuüksi sõnumi põhjal ümber arvutada, saab HMAC-i reprodutseerida ainult keegi, kellel on sama salajane võti – see teebki sellest autentimiskoodi, mitte lihtsalt kontrollsumma.

See on põhiline erinevus tavalisest kokkuvõttest: meie enda räsigeneraatori tööriist arvutab välja võtmeta räsid, nagu MD5 või SHA-256, mis on suurepärased juhusliku riknemise tuvastamiseks, kuid ei tõesta midagi selle kohta, kes andmed koostas, kuna igaüks saab luua sama räsi. HMAC tõestab nii terviklikkust (sõnumit ei muudetud) kui ka autentsust (allkirjastaja teadis jagatud saladust), mistõttu on HMAC standardne ehitusplokk API päringu allkirjastamise, JWT HS256/HS384/HS512 algoritmide ja TLS-kirje autentimise taga.

Kõige tavalisem reaalne kasutusjuhtum on veebihaagi allkirjade kontrollimine. Sellised teenused nagu Stripe, GitHub ja Shopify allkirjastavad iga veebihaagi kasuliku koormuse HMAC-SHA256-ga, kasutades teie konfigureeritud saladust, ja saadavad saadud allkirja päringu päises. Eeldatakse, et teie server arvutab HMAC-i töötlemata kasuliku koormuse alusel ümber sama saladusega ja võrdleb seda päise väärtusega – kui need kattuvad, siis teate, et päring pärineb tõesti sellelt teenuselt ja seda ei muudetud edastamisel. Selle tööriista kontrollirežiim kordab täpselt seda kontrolli: kleepige kasulik koormus, jagatud saladus ja vastuvõetud allkiri ning saate kohe vaste või mittevastavuse.

Kõik töötab lokaalselt brauseri natiivse veebikrüpto API (crypto.subtle.importKey ja crypto.subtle.sign) kaudu, nii et salajane võti, sõnumi sisu ja sellest tulenev signatuur ei lahku kunagi teie masinast – ühtegi serverisse ei laadita midagi üles, mis on oluline, kuna HMAC-saladused on täpselt selline väärtus, mida te ei tohiks kunagi kleepida juhuslikku võrgutööriista, mis võiks logida.