Trình tạo và xác minh HMAC

HMAC (Mã xác thực tin nhắn dựa trên hàm băm) là một cấu trúc mật mã có khóa kết hợp khóa bí mật với tin nhắn thông qua hàm băm như SHA-256. Không giống như hàm băm đơn giản mà bất kỳ ai cũng có thể tính toán lại chỉ từ tin nhắn, HMAC chỉ có thể được sao chép bởi người giữ cùng khóa bí mật - đó là điều khiến nó trở thành mã xác thực chứ không chỉ là tổng kiểm tra.

Đây là điểm khác biệt cơ bản so với một bản tóm tắt đơn giản: công cụ Hash Generator của chúng tôi tính toán các giá trị băm không có khóa như MD5 hoặc SHA-256, rất hữu ích trong việc phát hiện lỗi vô tình nhưng không chứng minh được ai đã tạo ra dữ liệu vì bất kỳ ai cũng có thể tạo ra cùng một giá trị băm. HMAC chứng minh cả tính toàn vẹn (thông báo không bị thay đổi) và tính xác thực (người ký biết bí mật chung), đó là lý do tại sao HMAC là khối xây dựng tiêu chuẩn đằng sau việc ký yêu cầu API, thuật toán HS256/HS384/HS512 của JWT và xác thực bản ghi TLS.

Trường hợp sử dụng phổ biến nhất trong thế giới thực là xác minh chữ ký webhook. Các dịch vụ như Stripe, GitHub và Shopify ký mọi tải trọng webhook bằng HMAC-SHA256 bằng cách sử dụng bí mật mà bạn định cấu hình và gửi chữ ký thu được trong tiêu đề yêu cầu. Máy chủ của bạn dự kiến ​​sẽ tính toán lại HMAC trên tải trọng thô với cùng một bí mật và so sánh nó với giá trị tiêu đề — nếu chúng khớp nhau, bạn biết yêu cầu thực sự đến từ dịch vụ đó và không bị giả mạo trong quá trình truyền tải. Chế độ xác minh của công cụ này tái tạo chính xác hoạt động kiểm tra đó: dán tải trọng, bí mật chung và chữ ký đã nhận và nhận được kết quả trùng khớp hoặc không khớp ngay lập tức.

Mọi thứ đều chạy cục bộ thông qua API Web Crypto gốc của trình duyệt (crypto.subtle.importKey và crypto.subtle.sign), do đó, khóa bí mật, nội dung thư và chữ ký kết quả sẽ không bao giờ rời khỏi máy của bạn — không có gì được tải lên bất kỳ máy chủ nào, điều này quan trọng vì bí mật HMAC chính xác là loại giá trị mà bạn không bao giờ nên dán vào một công cụ trực tuyến ngẫu nhiên có thể ghi nhật ký đó.