ХМАЦ генератор и верификатор

ХМАЦ (Хасх-басед Мессаге Аутхентицатион Цоде) је криптографска конструкција са кључем која комбинује тајни кључ са поруком путем хеш функције као што је СХА-256. За разлику од обичног хеша, који свако може поново да израчуна само из поруке, ХМАЦ може да репродукује само неко ко држи исти тајни кључ — то је оно што га чини кодом за аутентификацију, а не само контролним збиром.

Ово је фундаментална разлика у односу на обичан сажетак: наш сопствени алат Хасх Генератор израчунава хешове без кључа као што су МД5 или СХА-256, који су одлични за откривање случајне корупције, али не доказују ништа о томе ко је произвео податке, пошто свако може да генерише исти хеш. ХМАЦ доказује и интегритет (порука није промењена) и аутентичност (потписник је знао заједничку тајну), због чега је ХМАЦ стандардни грађевински блок иза потписивања АПИ захтева, ЈВТ-ових ХС256/ХС384/ХС512 алгоритама и ТЛС аутентификације записа.

Најчешћи случај употребе у стварном свету је провера потписа веб-хука. Услуге као што су Стрипе, ГитХуб и Схопифи потписују сваки корисни учитавање веб-хука помоћу ХМАЦ-СХА256 користећи тајну коју конфигуришете и шаљу резултујући потпис у заглављу захтева. Очекује се да ће ваш сервер поново израчунати ХМАЦ преко необрађеног корисног оптерећења са истом тајном и упоредити га са вредношћу заглавља — ако се поклапају, знате да је захтев заиста дошао од те услуге и да није мењан током преноса. Режим верификације овог алата репродукује управо ту проверу: налепите корисни терет, заједничку тајну и примљени потпис и добијете тренутно подударање или неподударање.

Све ради локално преко изворног Веб Црипто АПИ-ја претраживача (црипто.субтле.импортКеи и црипто.субтле.сигн), тако да тајни кључ, тело поруке и резултујући потпис никада не напуштају вашу машину — ништа се не отпрема ни на један сервер, што је важно пошто су ХМАЦ тајне управо она врста вредности коју никада не бисте смели да залепите у насумичну онлајн алатку.