توليد توقيع HMAC

كيفية الاستخدام توليد توقيع HMAC

1. أدخل الرسالة والمفتاح السري.
2. اختر الخوارزمية، وغالبًا SHA-256.
3. قارن التوقيع الناتج بالتوقيع المستلم.

لماذا نحتاج إلى HMAC

أشيع استخدام عملي هو التحقق من الطلبات الواردة.

حين ترسل خدمة خارجية طلبًا إلى خادمك — تأكيد دفعة، أو إشعار حالة — لا تعرف ابتداءً أنه صادر منها فعلًا، فعنوانك قد يعرفه أي أحد.

وHMAC يحل ذلك: يحسب المرسل توقيعًا من محتوى الرسالة ومن سر مشترك ويرسله معها. وتحسب أنت التوقيع نفسه بالسر نفسه وتقارن.

فإن تطابقا، كانت الرسالة من جهة تعرف السر، ولم تُعدَّل في الطريق.

والاستخدام الثاني هو توقيع طلبات واجهات البرمجة، حيث تُوقَّع الطريقة والمسار والطابع الزمني والمحتوى معًا.

ونقطة مهمة للتصنيف: HMAC ليس تشفيرًا. الرسالة تبقى مقروءة، وهو يضمن المصدر وسلامة المحتوى فقط.

وليس توقيعًا رقميًا بالمعنى القانوني: الطرفان يعرفان السر نفسه، فكلاهما قادر على إنتاج التوقيع. أما التوقيع الإلكتروني المعتمد قانونًا في دول الخليج فيقوم على أنظمة المعاملات الإلكترونية وعلى جهات تصديق مرخّصة، وآليته غير متماثلة.

التحقق الصحيح

تتكرر الأخطاء نفسها عند التحقق.

قارن التواقيع مقارنة ثابتة الزمن. فالمقارنة النصية المعتادة تتوقف عند أول اختلاف، ومن زمن التنفيذ يمكن تخمين التوقيع الصحيح تدريجيًا. وتوفّر أغلب اللغات دالة مخصصة لذلك.

ووقّع المحتوى الخام للطلب لا الكائن بعد تحليله وإعادة تركيبه. فاختلاف بسيط في المسافات أو في ترتيب مفاتيح JSON يغيّر التوقيع.

وافحص الطابع الزمني إن أرسله المزوّد، وارفض الطلبات القديمة. وإلا أمكن لمهاجم إعادة إرسال رسالة صحيحة لاحقًا.

وانتبه للترميز بدقة: ست عشري أم Base64، بأحرف كبيرة أم صغيرة، مع بادئة أم بدونها. تختلف الجهات في ذلك، وهو أشيع سبب لتوقيع يكاد يتطابق ولا يتطابق.

وتعامل مع السر كما تتعامل مع كلمة المرور: لا في الشيفرة، ولا في المستودع، بل في إعدادات البيئة.

أي خوارزمية

اختيار خوارزمية التجزئة أبسط مما يبدو.

SHA-256 هو الخيار الافتراضي المعقول، وهو ما تستخدمه أغلب الجهات.

واللافت أن HMAC نفسه متين نسبيًا أمام ضعف دالة التجزئة الأساسية، ولذلك لا يُعدّ HMAC-SHA1 مكسورًا فورًا. ومع ذلك لا سبب لاختياره في شيء جديد.

وطول المفتاح يجب ألا يقل عن طول ناتج دالة التجزئة، أي 32 بايتًا عشوائيًا مع SHA-256.

ويجب أن يكون المفتاح عشوائيًا. فالسر الذي تبتكره بنفسك هو أضعف حلقة في السلسلة كلها.

وهذه الأداة تحسب داخل متصفحك بالكامل، ولا يغادر المفتاح جهازك. ومع ذلك: لا تستخدم واجهة ويب لأسرار الإنتاج، بل بيئتك الخاصة.

الأسئلة الشائعة