HMAC-SHA256 Générateur de Hachage

A: SHA-256 est une fonction de hachage unidirectionnelle ; n'importe qui peut calculer le hash de la même entrée. HMAC-SHA256 nécessite une clé ; seuls ceux qui ont la clé peuvent générer et vérifier les valeurs HMAC. Différence clé : SHA-256 vérifie uniquement l'intégrité des données (si falsifiées), HMAC-SHA256 vérifie à la fois l'intégrité et l'authenticité de la source (si provenant d'une partie autorisée). Cas d'utilisation : Utiliser SHA-256 pour la vérification de fichiers, HMAC-SHA256 pour la signature d'API et l'authentification.

A: RFC 2104 recommande que la longueur de clé soit au moins égale à la longueur de sortie de la fonction de hachage. Pour HMAC-SHA256, la longueur de clé recommandée est ≥ 256 bits (32 octets). Clés plus courtes : Si la clé est inférieure à 256 bits, la sécurité diminue mais reste valide. Clés plus longues : Si la clé dépasse 512 bits (taille de bloc de SHA-256), elle est d'abord hachée à 256 bits, sans sécurité supplémentaire. Bonne pratique : Utiliser des clés aléatoires de 256 bits (32 octets), stocker en encodage Base64 ou Hex. Utilisez le générateur de mots de passe pour générer des clés de haute sécurité.

A: Flux typique de signature d'API : 1) Construire la chaîne de signature : Concaténer les paramètres de requête dans un format convenu (comme méthode HTTP, URL, horodatage, corps de requête). 2) Calculer le HMAC : Calculer HMAC-SHA256 de la chaîne de signature en utilisant la clé partagée. 3) Ajouter à la requête : Ajouter la valeur HMAC à l'en-tête de requête (comme X-Signature) ou aux paramètres de requête. 4) Vérification du serveur : Le serveur calcule le HMAC avec la même méthode et compare avec la valeur de la requête. Exemples : AWS Signature V4, GitHub Webhooks (X-Hub-Signature-256), Stripe (Stripe-Signature). Note : L'ordre de construction de la chaîne de signature doit être strictement cohérent, typiquement les paramètres triés alphabétiquement.

A: HMAC-SHA256 lui-même ne peut pas prévenir les attaques par rejeu. Les attaquants peuvent intercepter des requêtes légitimes (incluant les signatures HMAC) et les renvoyer. Méthodes de défense : 1) Horodatage : Inclure un horodatage dans la chaîne de signature, le serveur rejette les requêtes expirées (p.ex., requêtes de plus de 5 minutes). 2) Nonce (nombre aléatoire) : Chaque requête utilise un nombre aléatoire unique, le serveur enregistre les Nonces utilisés, rejette les doublons. 3) Compteur de requêtes : Le client maintient un compteur incrémental, le serveur rejette les requêtes avec des compteurs décrémentés. Bonne pratique : Combiner horodatage et Nonce pour prévenir les attaques par rejeu tout en évitant le stockage de grands ensembles de Nonces sur le serveur. AWS Signature V4 et OAuth 1.0 adoptent tous deux cette approche.

A: JWT (JSON Web Token) supporte plusieurs algorithmes de signature, HS256 étant HMAC-SHA256. JWT se compose de trois parties : En-tête, Payload, Signature. La signature utilise HMAC-SHA256 pour signer base64(header).base64(payload), s'assurant que le token n'est pas falsifié. Avantages : Chiffrement symétrique, haute performance, adapté aux systèmes internes. Inconvénients : La clé doit être partagée entre tous les services, risque plus élevé de fuite de clé. Alternatives : RS256 (signature RSA) ou ES256 (signature ECDSA) utilisent le chiffrement asymétrique, plus sécurisé mais légèrement moins performant.

A: Les deux sont sécurisés ; le choix dépend des besoins spécifiques. HMAC-SHA256 : Sortie de 256 bits (64 caractères), meilleures performances, plus grande compatibilité, standard industriel (utilisé par AWS, GitHub, Stripe). HMAC-SHA512 : Sortie de 512 bits (128 caractères), sécurité théoriquement plus élevée, encore meilleures performances sur les systèmes 64 bits que HMAC-SHA256, mais sortie plus longue consommant plus de bande passante et de stockage. Recommandation : Pour la plupart des applications, HMAC-SHA256 est le meilleur choix. Si vous avez besoin d'une sécurité plus élevée (comme des données gouvernementales classifiées, des signatures valides à long terme) ou de performances sur des serveurs 64 bits, choisissez HMAC-SHA512.