Czym jest HMAC?

HMAC (Kod uwierzytelniania wiadomości oparty na funkcji skrótu) to mechanizm służący do sprawdzania autentyczności i integralności wiadomości za pomocą funkcji hash i tajnego klucza.

Działa on w następujący sposób:

1. Wiadomość i tajny klucz są przetwarzane za pomocą funkcji hash w określony sposób.
2. W wyniku powstaje unikalny kod hash (HMAC).
3. Ten HMAC jest wysyłany razem z wiadomością.
4. Odbiorca, mając tę samą wiadomość i tajny klucz, oblicza HMAC ponownie.
5. Jeśli obliczony HMAC zgadza się z otrzymanym, uznaje się, że wiadomość nie została zmieniona i pochodzi od źródła posiadającego tajny klucz.

HMAC_K(m) = Hash((K ⊕ opad) || Hash((K ⊕ ipad) || m))

Gdzie:

• K — tajny klucz.
• m — wiadomość.
• Hash — używana funkcja hash (np. SHA-256).
• || — konkatenacja.
• ⊕ — operacja XOR.
• ipad (wewnętrzna podkładka) i opad (zewnętrzna podkładka) — stałe używane w algorytmie.

Różni się od zwykłej funkcji hash tym, że HMAC używa tajnego klucza, co czyni go odpornym na niektóre rodzaje ataków mających na celu sfałszowanie hasha.

Zastosowania w rozwoju webowym:

• Tokeny Bearer: Do tworzenia i weryfikacji tokenów uwierzytelniających.
• Podpisywanie zapytań: Do sprawdzania autentyczności zapytań do API.
• Weryfikacja danych: Gwarancja, że dane nie zostały zmienione podczas przesyłania.

Zalety:

• Wysoka odporność kryptograficzna.
• Kompatybilny z różnymi funkcjami hash.
• Łatwy do implementacji.