Penjana HMAC

Hash SHA-256 bagi "hello" sentiasa sama: sesiapa boleh mengiranya. HMAC-SHA256 bagi "hello" menghasilkan keputusan berbeza untuk setiap kunci rahsia. Hashing biasa memberi integriti (mengesan gangguan). HMAC memberi integriti tambah pengesahan (membuktikan siapa yang menandatangani). Sebab itulah API menggunakan HMAC untuk penandatanganan permintaan, bukan SHA-256 biasa.

HMAC-SHA256 ialah standard industri dan yang digunakan oleh kebanyakan perkhidmatan: AWS Signature Version 4, webhook Stripe, webhook GitHub, webhook Shopify. HMAC-SHA512 menyediakan margin keselamatan tambahan dan lebih pantas daripada SHA-256 pada perkakasan 64-bit. Elakkan HMAC-SHA1 untuk projek baru; gunakan hanya apabila mengintegrasikan dengan sistem warisan yang memerlukannya.

Kedua-duanya mewakili nilai HMAC yang sama dalam pengekodan berbeza. Hex (heksadesimal) menghasilkan 64 aksara untuk HMAC-SHA256, lebih mudah dibaca dan dibanding secara manual. Base64 menghasilkan 44 aksara, lebih padat, biasa digunakan dalam pengepala HTTP Authorization, tandatangan JWT dan pengepala permintaan API. Semak format yang dijangka oleh perkhidmatan sasaran anda sebelum menjana.

Apabila anda menerima webhook daripada Stripe, payload datang dengan pengepala X-Stripe-Signature yang mengandungi HMAC-SHA256 badan mentah, ditandatangani dengan kunci rahsia endpoint anda. Untuk mengesahkan: kira HMAC-SHA256 badan permintaan mentah menggunakan rahsia anda, kemudian bandingkan dengan nilai pengepala. Jika sepadan, webhook adalah tulen. GitHub menggunakan X-Hub-Signature-256 dengan cara yang sama. Alat ini membolehkan anda mengira dan mengesahkan tandatangan ini tanpa menulis kod.

Untuk HMAC-SHA256, panjang kunci yang disyorkan ialah sekurang-kurangnya 32 bait (256 bit), sepadan dengan saiz output hash. Kunci yang lebih pendek mengurangkan keselamatan; kunci yang lebih panjang adalah baik. Jangan sekali-kali menggunakan rentetan yang boleh diingat manusia sebagai kunci, terlalu mudah diramal. Jana kunci dengan RNG yang selamat secara kriptografi dan simpan dalam pemboleh ubah persekitaran atau pengurus rahsia, bukan dalam kod sumber.

Jana HMAC, kemudian tampal nilai HMAC yang dijangka ke dalam medan Bandingkan. Alat ini membandingkan dua nilai dan melaporkan sama ada ia sepadan. Berguna untuk mengesahkan tandatangan webhook: kira HMAC yang dijangka daripada payload yang diterima dan kunci anda, kemudian bandingkan dengan tandatangan dalam pengepala permintaan. Padanan mengesahkan webhook adalah tulen.

Tidak pernah. Semua penjanaan HMAC menggunakan Web Crypto API (window.crypto.subtle.sign), yang berjalan sepenuhnya dalam pelayar anda. Kunci, mesej dan output HMAC anda tidak pernah dihantar ke mana-mana pelayan. Anda boleh memutuskan sambungan internet dan alat ini berfungsi dengan cara yang sama.