Τι είναι το HMAC;

HMAC (Hash-based Message Authentication Code) είναι ένας μηχανισμός για τον έλεγχο της αυθεντικότητας και της ακεραιότητας ενός μηνύματος χρησιμοποιώντας μια λειτουργία κατακερματισμού και ένα μυστικό κλειδί.

Λειτουργεί ως εξής:

1. Το μήνυμα και το μυστικό κλειδί επεξεργάζονται μέσω μιας συγκεκριμένης λειτουργίας κατακερματισμού.
2. Ως αποτέλεσμα, παράγεται ένας μοναδικός κωδικός κατακερματισμού (HMAC).
3. Αυτό το HMAC αποστέλλεται μαζί με το μήνυμα.
4. Ο παραλήπτης, έχοντας το ίδιο μήνυμα και το ίδιο μυστικό κλειδί, υπολογίζει ξανά το HMAC.
5. Αν ο υπολογιζόμενος HMAC ταιριάζει με αυτόν που λαμβάνεται, θεωρείται ότι το μήνυμα δεν έχει τροποποιηθεί και προέρχεται από πηγή που διαθέτει το μυστικό κλειδί.

HMAC_K(m) = Hash((K ⊕ opad) || Hash((K ⊕ ipad) || m))

Όπου:

• K — μυστικό κλειδί.
• m — μήνυμα.
• Hash — η χρησιμοποιούμενη λειτουργία κατακερματισμού (π.χ., SHA-256).
• || — σύνδεση.
• ⊕ — λειτουργία XOR.
• ipad (εσωτερικό μαξιλάρι) και opad (εξωτερικό μαξιλάρι) — σταθερές που χρησιμοποιούνται στον αλγόριθμο.

Η διαφορά από μια κανονική λειτουργία κατακερματισμού είναι ότι το HMAC χρησιμοποιεί ένα μυστικό κλειδί, καθιστώντας το ανθεκτικό σε ορισμένους τύπους επιθέσεων που στοχεύουν στην πλαστογράφηση του hash.

Εφαρμογές στην ανάπτυξη ιστού:

• Bearer tokens: Για τη δημιουργία και επαλήθευση tokens αυθεντικοποίησης.
• Υπογραφή αιτημάτων: Για τον έλεγχο της αυθεντικότητας των αιτημάτων προς το API.
• Επαλήθευση δεδομένων: Διασφαλίζει ότι τα δεδομένα δεν έχουν τροποποιηθεί κατά τη μεταφορά.

Πλεονεκτήματα:

• Υψηλή κρυπτογραφική αντοχή.
• Συμβατό με διάφορες λειτουργίες κατακερματισμού.
• Εύκολο στην υλοποίηση.