ตัวสร้าง HMAC

HMAC ทำงานอย่างไร

HMAC (hash-based message authentication code, RFC 2104) คือรหัสยืนยันความถูกต้องของข้อความที่ใช้ฟังก์ชันแฮชสำหรับงานเข้ารหัสลับร่วมกับคีย์ลับ มีเพียงผู้ที่รู้คีย์เท่านั้นที่สร้างค่าที่ถูกต้องสำหรับข้อความหนึ่ง ๆ ได้ HMAC ที่ตรงกันจึงพิสูจน์สองสิ่งพร้อมกัน คือข้อความไม่ถูกแก้ไข และข้อความมาจากผู้ที่ถือคีย์นั้น

โครงสร้างของ HMAC คือ H((K ⊕ opad) ‖ H((K ⊕ ipad) ‖ message)) หากคีย์ยาวกว่าขนาดบล็อกของฟังก์ชันแฮช (64 ไบต์สำหรับ MD5, SHA-1 และ SHA-256 และ 128 ไบต์สำหรับ SHA-384 และ SHA-512) คีย์จะถูกแฮชก่อน จากนั้นเติมศูนย์จนครบขนาดบล็อก แล้วนำไป XOR กับ ipad (ไบต์ 0x36) เพื่อคำนวณแฮชชั้นในจากข้อความ และ XOR กับ opad (ไบต์ 0x5c) เพื่อคำนวณแฮชชั้นนอกจากผลลัพธ์ของชั้นใน วิธีแบบง่าย ๆ อย่าง SHA-256(key ‖ message) ไม่มีแฮชชั้นนอก ผู้ที่เห็นแท็กเพียงค่าเดียวจึงต่อข้อมูลเพิ่มท้ายข้อความและคำนวณแท็กใหม่ที่ถูกต้องได้โดยไม่ต้องรู้คีย์ (การโจมตีแบบขยายความยาว หรือ length extension)

เอาต์พุตมีความยาวเท่ากับฟังก์ชันแฮชที่ใช้ เช่น 32 ไบต์หรือเลขฐานสิบหก 64 อักขระสำหรับ HMAC-SHA256 RFC 2104 แนะนำให้ใช้คีย์ที่ยาวอย่างน้อยเท่านั้น และตัวสร้าง Base64 แบบสุ่มก็สร้างคีย์ที่เหมาะสมให้ได้

ลายเซ็น HMAC ใช้ที่ใดบ้าง

• เว็บฮุกของ GitHub ส่วนหัว X-Hub-Signature-256 คือ sha256= ตามด้วย HMAC-SHA256 ในรูปเลขฐานสิบหกของเนื้อหาคำขอดิบ โดยใช้คีย์ลับของเว็บฮุกเป็นคีย์ คุณวางค่าส่วนหัวทั้งหมดลงในช่อง “เปรียบเทียบกับ” ได้เลย เพราะตัวนำหน้า sha256= จะถูกละเว้น
• เว็บฮุกของ Stripe ส่วนหัว Stripe-Signature มีเวลาประทับ t และลายเซ็น v1 ซึ่งคือ HMAC-SHA256 ในรูปเลขฐานสิบหกของเวลาประทับ จุด และเนื้อหาดิบที่ต่อกัน โดยใช้คีย์ลับของปลายทาง (whsec_...) เป็นคีย์แบบข้อความ
• เว็บฮุกของ Shopify X-Shopify-Hmac-Sha256 เก็บ HMAC-SHA256 ของเนื้อหาดิบในรูป Base64 โดยใช้คีย์ลับของไคลเอนต์ (client secret) ของแอปเป็นคีย์ ดังนั้นให้เลือกเอาต์พุตเป็น Base64 หรือวางค่าส่วนหัวลงในช่อง “เปรียบเทียบกับ”
• AWS Signature Version 4 คีย์สำหรับลงนามได้มาจากการคำนวณ HMAC-SHA256 ต่อกันเป็นทอด ๆ เริ่มจากวันที่ โดยใช้ AWS4 ต่อด้วยคีย์การเข้าถึงลับ (secret access key) เป็นคีย์ จากนั้นจึงเป็นภูมิภาค บริการ และ aws4_request ซึ่งแต่ละขั้นใช้ผลลัพธ์ของขั้นก่อนหน้าเป็นคีย์ ให้ตั้ง “รูปแบบคีย์” เป็น “เลขฐานสิบหก” เพื่อนำเอาต์พุตของขั้นหนึ่งไปใช้ในขั้นถัดไป
• JSON Web Token HS256, HS384 และ HS512 คือ HMAC-SHA256, -384 และ -512 ที่คำนวณจากส่วนหัวที่เข้ารหัสแล้ว จุด และเพย์โหลดที่เข้ารหัสแล้ว ส่วนที่สามของโทเค็นคือ HMAC นั้นในรูป Base64 แบบปลอดภัยสำหรับ URL ซึ่งช่อง “เปรียบเทียบกับ” รับได้ตามที่เป็นอยู่ ส่วนตัวถอดรหัส JWTใช้ตรวจสอบโทเค็นทั้งชุดได้

ให้คำนวณ HMAC จากเนื้อหาดิบตรงตามที่ได้รับมาเสมอ การแยกวิเคราะห์ JSON แล้วแปลงกลับเป็นสตริงใหม่จะเปลี่ยนการเว้นวรรคหรือลำดับของคีย์ และแม้แต่อักขระขึ้นบรรทัดใหม่ที่เกินมาเพียงตัวเดียวก็ทำให้ได้ HMAC ที่ต่างไปโดยสิ้นเชิง

HMAC ในโค้ด

# Python
import hmac, hashlib
sig = hmac.new(b'key', b'message', hashlib.sha256).hexdigest()
hmac.compare_digest(sig, received)        # เปรียบเทียบแบบใช้เวลาคงที่

// Node.js
const crypto = require('crypto');
const sig = crypto.createHmac('sha256', 'key').update('message').digest('hex');
// timingSafeEqual จะโยนข้อผิดพลาดหากความยาวไม่เท่ากัน จึงควรตรวจสอบความยาวก่อน
crypto.timingSafeEqual(Buffer.from(sig), Buffer.from(received));

// PHP: ข้อความมาก่อนคีย์
$sig = hash_hmac('sha256', 'message', 'key');
hash_equals($sig, $received);

# OpenSSL: คีย์แบบข้อความ ตามด้วยคีย์เดียวกันในรูปเลขฐานสิบหก
printf '%s' 'message' | openssl dgst -sha256 -hmac 'key'
printf '%s' 'message' | openssl dgst -sha256 -mac HMAC -macopt hexkey:6b6579

# ค่าทดสอบ: คีย์ "key" ข้อความ "The quick brown fox jumps over the lazy dog"
# HMAC-SHA256 = f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8

เมื่อตรวจสอบลายเซ็นในโค้ดของคุณเอง ให้ใช้การเปรียบเทียบแบบใช้เวลาคงที่ (constant-time) อย่างในตัวอย่างข้างต้น การเปรียบเทียบด้วย == ธรรมดาจะหยุดทันทีที่พบอักขระตัวแรกที่ไม่ตรงกัน และความต่างของเวลานั้นอาจทำให้ผู้โจมตีหาลายเซ็นที่ถูกต้องได้ทีละไบต์ สำหรับรูปแบบที่มีเวลาประทับอย่างของ Stripe ให้ปฏิเสธคำขอที่มีเวลาประทับเก่ากว่าสองสามนาทีด้วย เพื่อป้องกันการส่งคำขอซ้ำ (replay)