HMAC Generator & Verifier

HMAC (Hash-based Message Authentication Code) je kriptografska konstrukcija s ključem koja kombinira tajni ključ s porukom putem hash funkcije kao što je SHA-256. Za razliku od običnog hash-a, koji svatko može ponovno izračunati samo iz poruke, HMAC može reproducirati samo netko tko ima isti tajni ključ - to je ono što ga čini kodom za provjeru autentičnosti, a ne samo kontrolnim zbrojem.

Ovo je temeljna razlika od običnog sažetka: naš vlastiti alat Hash Generator izračunava hashove bez ključa kao što su MD5 ili SHA-256, koji su odlični za otkrivanje slučajnog kvara, ali ne dokazuju ništa o tome tko je proizveo podatke, budući da svatko može generirati isti hash. HMAC dokazuje i integritet (poruka nije izmijenjena) i autentičnost (potpisnik je znao zajedničku tajnu), zbog čega je HMAC standardni sastavni blok iza potpisivanja zahtjeva API-ja, JWT-ovih HS256/HS384/HS512 algoritama i provjere autentičnosti TLS zapisa.

Najčešći slučaj upotrebe u stvarnom svijetu je provjera potpisa webdojavnika. Usluge kao što su Stripe, GitHub i Shopify potpisuju svaki webhook korisni teret s HMAC-SHA256 koristeći tajnu koju konfigurirate i šalju rezultirajući potpis u zaglavlju zahtjeva. Očekuje se da će vaš poslužitelj ponovno izračunati HMAC preko neobrađenog korisnog opterećenja s istom tajnom i usporediti ga s vrijednošću zaglavlja — ako se podudaraju, znate da je zahtjev doista došao od te usluge i da nije dirao tijekom prijenosa. Način provjere ovog alata reproducira točno tu provjeru: zalijepite sadržaj, zajedničku tajnu i primljeni potpis i odmah dobijete podudaranje ili nepodudaranje.

Sve se izvodi lokalno putem izvornog Web Crypto API-ja preglednika (crypto.subtle.importKey i crypto.subtle.sign), tako da tajni ključ, tijelo poruke i rezultirajući potpis nikada ne napuštaju vaše računalo — ništa se ne učitava ni na jedan poslužitelj, što je važno budući da su HMAC tajne točno one vrijednosti koje nikada ne biste smjeli zalijepiti u nasumični mrežni alat koji bi to mogao zabilježiti.