Primeiro, existe uma grande diferença entre fazer H(mensagem || chave)
e fazer H(chave || mensagem)
, a ordem dos fatores importam, já que as funções de hashes (do modelo Merkle–Damgard, especificamente) são basedas em blocos e então "comprimidas" e "combinadas" com o bloco anterior. Além disso, a hash utilizada também importa, já que o SHA-3 não possui as mesmas vulnerabilidades do SHA-2. Outros algoritmos, como o Blake2 (e Blake3) possuem recursos de keyed hashing
, o que serve para o proposito de PRF (considerando que exigencias de um PRF é "maior" do que um MAC, então ele é válido como MAC).
Dessa forma, ao fazer H(chave || mensagem)
você está exposto à Length Extension Attack, caso o H
seja vulnerável à isto (não é aplicável no SHA-3 ou Blake2, por exemplo). Isso foi mencionado nos comentários. Isso permite forjar uma "assinatura" com uma mensagem modificada.
Se optar por fazer H(mensagem || chave)
você pode estar mais exposto à um ataque de colisão, em relação ao HMAC, o que é melhor explicado aqui (em inglês). Mas, estará seguro contra o "Length Extension Attack", de modo geral. Considerando que a função H
seja seguro contra colisão, então não haveria problemas em fazer isso. Esta é a sua construção atual. Mas, ainda continua menos segura do que o HMAC, já que o HMAC oferece maior resistencia à colisões, mesmo que o função de hash "se torne insegura". Este é o mesmo motivo que MD5(mensagem || chave)
é inseguro em relação à HMAC-MD5(mensagem, chave)
.
Isto é num contexto geral, entretanto você menciona chave secreta seja compartilhada por ambas pontas
. Nem sempre o H(mensagem || chave)
é melhor, depende do proposito do no qual o MAC está sendo utilizado. Num cenário onde esteja criando alguma forma de "challenge–response", onde deseja garantir que uma pessoa não-confiável possua a informação da "mensagem", enviando uma chave
aleátoria: essa construção permite forjar uma hash, apenas guardando o último bloco compactado da hash, ao invés de obrigatoriamente possuir toda a informação da mensagem
. Novamente, isso é aplicável em hashes baseadas em Merkle–Damgard (SHA-2, por exemplo).
Em geral, acredito que seja melhor utilizar:
HMAC: Foi construido para tal função, possui maior resistencia à colisão (do que H(mensagem || chave)
) e não há problemas de Lenght-Attack (como no H(chave || mensagem)
).
- HKDF: Caso queira expandir o resultado do HMAC.
SHA-3: A construção H(chave || mensagem)
é segura, e foi feito para ser seguro contra os problemas já conhecidos do SHA-2.
Blake2B: O Blake2 não possui as vulnerabilidades do SHA-2, além de ser teoricamente mais rápido e ainda tem PRF/MAC (sessão 2.9) definido no próprio algoritmo.
- Blake2X: Caso queira expandir um resultado do Blake2 em até 4GB.