22

Ao trabalhar em um projeto que usa sha256 e chaves de segurança, me deparei com o termo hmac.

Eu ainda não sei bem a fundo do que se trata, e gostaria de entender um pouco mais.

Tenho as seguintes dúvidas:

  • O que seria um HMAC?
  • O HMAC tem alguma coisa a ver com o hash (md5, sha1, sha256)?
  • Por que escuto sempre algo como "cálculo do HMAC"? O que seria esse "cálculo"?
  • Ele tem alguma finalidade para segurança das informações? Se sim, cite exemplos.

E por último:

  • Como se pronuncia? Eu sempre falo: "Agá-mequi"
1
  • Em inglês se pronuncia: "Reitch Mac" em IPA: heɪʧ mæk
    – danilo
    Commented 12/08/2023 às 4:32

2 Respostas 2

26

HMAC é uma sigla para Hash-based Message Authentication Code

O que seria um HMAC?

Um HMAC é um tipo de MAC (código de autenticação de mensagem). Um MAC é um código que você pode adicionar ao final de uma mensagem para proteger a integridade da mensagem, garantindo que ela foi recebida pelo destinatário sem alterações acidentais ou maliciosas.

A maneira mais simples de tentar proteger a integridade de uma mensagem seria incluir um checksum no final. Isso protegeria contra modificações acidentais mas não protegeria contra modificações maliciosas, já que uma pessoa mal intencionada poderia recalcular o checksum para fazê-lo conferir com a mensagem modificada.

Para proteger contra modificações maliciosas podemos usar um MAC criptograficamente seguro. Esse MAC é tipo um checksum, mas ele também depende de uma chave secreta que só autor da mensagem tem, o que teoricamente impede um adversário de recalcular o MAC de uma mensagem modificada.

O HMAC é um um algorítimo específico para gerar um MAC criptograficamente seguro a partir de uma chave secreta e de uma mensagem qualquer. É melhor usar esse algoritmo do que reinventar a roda pois muitos algoritmos simples como hash(chave + mensagem) são vulneráveis a ataques criptográficos como o ataque de extensão de tamanho.

O HMAC tem alguma coisa a ver com o hash (md5, sha1, sha256)?

Sim, o HMAC é um algoritmo geral que usa uma função de hash internamente. Essa função de hash pode ser qualquer hash criptográfico, como md5, sha1 ou sha256 e dependendo da função de hash que você usar você fica com uma versão diferente do HMAC (HMAC-MD5, HMAC-SHA1, HMAC-SHA256, etc).

Por que escuto sempre algo como "cálculo do HMAC"? O que seria esse "cálculo"?

O HMAC é um algoritmo e esse cálculo é simplesmente a execução desse algoritmo. A grosso modo, a função HMAC é definida por

HMAC(K, m) =  hash(K1 + hash(K2 + m))

onde:

  • K é a chave secreta
  • m é a mensagem
  • hash é a função de hash escolhida (md5, sha1, etc)
  • K1 e K2 são chaves secretas derivadas da chave original K
  • + é a operação de concatenação de strings.

Para mais detalhes, recomendo ler a RFC 2104 ou o artigo da Wikipédia

Ele tem alguma finalidade para segurança das informações? Se sim, cite exemplos.

Um exemplo de uso de MAC é que um servidor web pode entregar cookies para os seus usuários que podem ser lidos mas não modificados (pois qualquer modificação no conteúdo invalidaria o MAC).

3
  • Ótimo, cara, muito bom... +1. Só faltou a pronúncia :> Commented 15/03/2017 às 13:39
  • 2
    Em português eu falaria "maqui" mesmo em vez de "méqui". Mas acho que tanto faz.
    – hugomg
    Commented 15/03/2017 às 14:43
  • Ótima explicação!
    – v3rlly
    Commented 18/06/2021 às 13:19
13

Uma breve introdução sobre Código de Autenticação de Mensagem (MAC¹):

Um código de autenticação de mensagem é uma informação usada para autenticar uma mensagem. Um algorítimo MAC recebe como parâmetro uma chave secreta (compartilhada somente com o destinatário) e a mensagem em sí que será autenticada, e retorna um código de autenticação de mensagem. Este código é usado para verificar a integridade e autenticidade dos dados da mensagem.

Como podemos ver na representação abaixo, o remetente da mensagem usa um algoritmo para gerar o MAC da mensagem a ser enviada usando a chave secreta. A mensagem e MAC são enviados para o destinatário. Ele em posse da chave secreta executa o mesmo algoritmo sobre a mensagem e verifica se o MAC gerado é igual ao enviado pelo rementente. Se eles são iguais, o destinatário pode assumir que a integridade e autenticidade da mensagem estão ok.

inserir a descrição da imagem aqui Representação de troca de informações usando código de autenticação de mensagem (MAC).
Adaptada de: Message Authentication Code - Wikipedia
¹MAC = Message Authentication Code

O que é um HMAC - Hash-based Message Authentication Code?

É um tipo de código de autenticação de mensagem (MAC) envolvendo em sua construção uma função hash (H) criptográfica combinando com uma chave secreta.

SHA-1, MD5 e outras funções hash criptográficas podem ser usadas no cálculo do HMAC e sua força criptográfica pode variar de acordo com a função hash utilizada.

Na definição RFC 2104 é apresentada uma representação da função/cálculo HMAC, onde:

  • H(·) é uma função hash criptográfica
  • K é uma chave secreta preenchida com zeros extras à direita para entrada no bloco do tamanho da função hash , ou o hash da chave original se esta é maior que o tamanho do bloco
  • m é a mensagem a ser autenticada
  • ∥ denota concatenação
  • ⊕ denota ou exclusivo (XOR)
  • opad é o preenchimento externo (0x5c5c5c…5c5c), um bloco de comprimento constante hexadecimal)
  • ipad é o preenchimento interno (0x363636…3636), um bloco de comprimento constante hexadecimal)

Descrição e representação obtida em: HMAC – Wikipédia, a enciclopédia livre

inserir a descrição da imagem aqui

Exemplo real de utilização de HMAC:

Um caso de uso que tive experiência foi a validação da autenticidade e integridade de notificações enviadas de um sistema de pagamento para um sistema de e-commerce (utilizando HMAC-SHA1), referentes à status de transações (confirmações e cancelamentos de pagamentos de produtos).

Esta validação é importante para termos certeza que a resposta vem do sistema de pagamento e não é de um indivíduo com más intenções forjando um POST de confirmação de pagamento de uma transação, por exemplo. A chave secreta utilizada neste caso é a API Key fornecida pelo sistema de pagamento.

Como se pronuncia HMAC?

Nos primeiros segundos deste vídeo e este vídeo também é possível ouvir a pronúncia do termo em inglês.

Referências:

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .