HMAC ģenerators un pārbaudītājs

HMAC (uz jaucējkods balstīts ziņojuma autentifikācijas kods) ir atslēgas kriptogrāfiska konstrukcija, kas apvieno slepeno atslēgu ar ziņojumu, izmantojot jaucējfunkciju, piemēram, SHA-256. Atšķirībā no vienkārša jaucējkoda, ko ikviens var pārrēķināt tikai no ziņojuma, HMAC var reproducēt tikai kāds, kuram ir tā pati slepenā atslēga — tas padara to par autentifikācijas kodu, nevis tikai kontrolsummu.

Šī ir galvenā atšķirība no vienkārša īssavilkuma: mūsu pašu Hash Generator rīks aprēķina neatslēgtas jaucējvērtības, piemēram, MD5 vai SHA-256, kas ir lieliski piemērotas nejaušas korupcijas noteikšanai, taču neko nepierāda par datu ģenerētāju, jo ikviens var ģenerēt tādu pašu jaucējkodu. HMAC pierāda gan integritāti (ziņojums netika mainīts), gan autentiskumu (parakstītājs zināja kopīgo noslēpumu), tāpēc HMAC ir standarta veidošanas bloks aiz API pieprasījuma parakstīšanas, JWT HS256/HS384/HS512 algoritmiem un TLS ieraksta autentifikācijas.

Visizplatītākais reālās pasaules lietošanas gadījums ir tīmekļa aizķeres parakstu pārbaude. Tādi pakalpojumi kā Stripe, GitHub un Shopify paraksta katru tīmekļa aizķeres slodzi ar HMAC-SHA256, izmantojot jūsu konfigurēto noslēpumu, un nosūta iegūto parakstu pieprasījuma galvenē. Paredzams, ka jūsu serveris pārrēķinās HMAC, izmantojot neapstrādātu lietderīgo slodzi, izmantojot to pašu noslēpumu un salīdzinās to ar galvenes vērtību — ja tie sakrīt, jūs zināt, ka pieprasījums patiešām nāca no šī pakalpojuma un sūtīšanas laikā tas netika mainīts. Šī rīka pārbaudes režīms atveido tieši šo pārbaudi: ielīmējiet lietderīgo slodzi, koplietoto noslēpumu un saņemto parakstu un iegūstiet tūlītēju atbilstību vai neatbilstību.

Viss darbojas lokāli, izmantojot pārlūkprogrammas vietējo Web Crypto API (crypto.subtle.importKey un crypto.subtle.sign), tāpēc slepenā atslēga, ziņojuma pamatteksts un iegūtais paraksts nekad nepamet jūsu datoru — nekas netiek augšupielādēts nevienā serverī, un tam ir nozīme, jo HMAC noslēpumi ir tieši tāda vērtība, kuru nekad nevajadzētu ielīmēt nejaušā tiešsaistes rīkā, kas varētu reģistrēties.