HMAC é uma sigla para Hash-based Message Authentication Code
O que seria um HMAC?
Um HMAC é um tipo de MAC (código de autenticação de mensagem). Um MAC é um código que você pode adicionar ao final de uma mensagem para proteger a integridade da mensagem, garantindo que ela foi recebida pelo destinatário sem alterações acidentais ou maliciosas.
A maneira mais simples de tentar proteger a integridade de uma mensagem seria incluir um checksum no final. Isso protegeria contra modificações acidentais mas não protegeria contra modificações maliciosas, já que uma pessoa mal intencionada poderia recalcular o checksum para fazê-lo conferir com a mensagem modificada.
Para proteger contra modificações maliciosas podemos usar um MAC criptograficamente seguro. Esse MAC é tipo um checksum, mas ele também depende de uma chave secreta que só autor da mensagem tem, o que teoricamente impede um adversário de recalcular o MAC de uma mensagem modificada.
O HMAC é um um algorítimo específico para gerar um MAC criptograficamente seguro a partir de uma chave secreta e de uma mensagem qualquer. É melhor usar esse algoritmo do que reinventar a roda pois muitos algoritmos simples como hash(chave + mensagem)
são vulneráveis a ataques criptográficos como o ataque de extensão de tamanho.
O HMAC tem alguma coisa a ver com o hash (md5, sha1, sha256)?
Sim, o HMAC é um algoritmo geral que usa uma função de hash internamente. Essa função de hash pode ser qualquer hash criptográfico, como md5, sha1 ou sha256 e dependendo da função de hash que você usar você fica com uma versão diferente do HMAC (HMAC-MD5, HMAC-SHA1, HMAC-SHA256, etc).
Por que escuto sempre algo como "cálculo do HMAC"? O que seria esse "cálculo"?
O HMAC é um algoritmo e esse cálculo é simplesmente a execução desse algoritmo. A grosso modo, a função HMAC é definida por
HMAC(K, m) = hash(K1 + hash(K2 + m))
onde:
K
é a chave secreta
m
é a mensagem
hash
é a função de hash escolhida (md5, sha1, etc)
K1
e K2
são chaves secretas derivadas da chave original K
+
é a operação de concatenação de strings.
Para mais detalhes, recomendo ler a RFC 2104 ou o artigo da Wikipédia
Ele tem alguma finalidade para segurança das informações? Se sim, cite exemplos.
Um exemplo de uso de MAC é que um servidor web pode entregar cookies para os seus usuários que podem ser lidos mas não modificados (pois qualquer modificação no conteúdo invalidaria o MAC).