加密与安全_深入了解Hmac算法（消息认证码）_消息认证码使用的算法

2401_84264727

于 2024-05-13 16:10:45 发布

阅读量878

点赞数 14

分类专栏：程序员文章标签：网络安全学习面试

本文链接：https://blog.csdn.net/2401_84264727/article/details/138807521

版权

程序员专栏收录该内容

188 篇文章 0 订阅

订阅专栏

写在最后

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源私我

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！


正是因为相同的输入会产生相同的输出，我们加盐的目的就在于，使得输入有所变化：

digest = hash(salt + input)


这个salt可以看作是一个额外的“认证码”，同样的输入，不同的认证码，会产生不同的输出。因此，要验证输出的哈希，必须同时提供“认证码”。


**Hmac算法就是一种基于密钥的消息认证码算法，它的全称是Hash-based Message Authentication Code，是一种更安全的消息摘要算法**。


Hmac算法总是和某种哈希算法配合起来用的。例如，我们使用MD5算法，对应的就是HmacMD5算法，它相当于“加盐”的MD5：

HmacMD5 ≈ md5(secure_random_key, input)




---


## HMAC概述


HMAC（Hash-based Message Authentication Code）算法是一种基于哈希函数的消息认证码算法，用于验证消息的完整性和认证消息的发送者。它结合了哈希函数和密钥，通过将密钥与消息进行哈希运算来生成消息认证码。


HMAC的计算过程如下：


1. 首先，选择一个适当的哈希函数（如MD5、SHA-1、SHA-256等）和一个密钥。
2. 将密钥进行适当的填充和处理，以满足哈希函数的输入长度要求。
3. 将消息与填充后的密钥按照特定的方式进行组合。
4. 对组合后的数据进行哈希运算。
5. 将哈希结果作为消息认证码输出。


接收方在接收到消息后，也会使用相同的密钥和哈希函数来计算消息的HMAC值，并与发送方发送的HMAC值进行比较。如果两者一致，则消息完整且来自合法发送者；否则，可能存在消息被篡改或来自未经授权的发送者的风险。




---


通俗地讲，HMAC算法就像是一种“密码验证器”，它确保数据在传输过程中不被篡改。


想象你要给朋友寄一封信，但你担心信被别人篡改了。你可以用HMAC来解决这个问题。首先，你会在信封上写下你的签名。但这次不是用笔签名，而是用一种特殊的技巧来生成一个“密钥”。这个密钥就像是你的个人密码，只有你和你的朋友知道。


然后，你把这个签名和信一起寄出去。你的朋友收到信后，也知道这个密钥。他会用同样的方法再次生成签名，然后比对你寄来的签名。如果两个签名一样，说明信没有被篡改，因为只有你和你的朋友知道这个特殊的“密码”。


所以，HMAC就是通过一种双重的“密码”验证机制，确保数据的完整性和安全性。HMAC算法具有较强的安全性和广泛的应用，常用于网络通信、数据传输、数字签名等领域，以确保数据的完整性和安全性。




---


## 常见的Hmac算法


HMAC（Hash-based Message Authentication Code）算法可以与许多哈希函数结合使用，常用的哈希函数包括：


1. HMAC-MD5：使用MD5哈希函数生成HMAC。
2. HMAC-SHA1：使用SHA-1哈希函数生成HMAC。
3. HMAC-SHA256：使用SHA-256哈希函数生成HMAC。
4. HMAC-SHA512：使用SHA-512哈希函数生成HMAC。


这些算法提供了不同的哈希函数选项，可以根据安全性需求和性能考虑选择适合的算法。通常情况下，较新的SHA-256和SHA-512算法被认为比MD5和SHA-1更安全，因此在安全要求较高的场景中更常用。




---


## Code


### 随机的key的生成 KeyGenerator


通过使用Java标准库中的`KeyGenerator`生成安全的随机密钥，可以确保密钥的随机性和安全性，从而增强了加密算法的安全性。


`KeyGenerator`类提供了生成对称密钥的功能，可以根据指定的算法和安全随机数生成器来生成密钥。通常情况下，可以使用


* `KeyGenerator.getInstance(String algorithm)`方法来获取`KeyGenerator`实例，
* 然后使用`KeyGenerator.init(int keysize)`方法指定密钥的长度，
* 最后通过`KeyGenerator.generateKey()`方法生成密钥。


这样生成的密钥通常会具有足够的长度和随机性，能够抵御常见的密码攻击，如穷举搜索和字典攻击。因此，使用Java标准库中的`KeyGenerator`生成安全的随机密钥是一种推荐的做法，有助于提高系统的安全性。


### HmacMD5


`HmacMD5`可以看作带有一个安全的key的`MD5`。使用`HmacMD5`而不是用MD5加salt，有如下好处：


* `HmacMD5`使用的key长度是64字节，更安全；
* `Hmac`是标准算法，同样适用于SHA-1等其他哈希算法；
* `Hmac`输出和原有的哈希算法长度一致。


可见，Hmac本质上就是把key混入摘要的算法。验证此哈希时，除了原始的输入数据，还要提供key。

package com.artisan.securityalgjava.hmac;

import javax.crypto.KeyGenerator;
import javax.crypto.Mac;
import javax.crypto.SecretKey;
import java.math.BigInteger;

/**
* @author 小工匠
* @version 1.0
* @mark: show me the code , change the world
*/
public class HmacTest {

public static void main(String[] args)  throws  Exception{
    // 创建 KeyGenerator 实例并指定算法为 HmacMD5
    KeyGenerator keyGen = KeyGenerator.getInstance("HmacMD5");

    // 生成随机密钥
    SecretKey key = keyGen.generateKey();

    // 打印随机生成的密钥
    byte[] skey = key.getEncoded();
    System.out.println("随机生成的密钥：" + new BigInteger(1, skey).toString(16));

    // 创建 Mac 实例并指定算法为 HmacMD5
    Mac mac = Mac.getInstance("HmacMD5");

    // 初始化 Mac 实例
    mac.init(key);

    // 更新消息
    mac.update("HellArtisan".getBytes("UTF-8"));

    // 计算 HMAC 值
    byte[] result = mac.doFinal();

    // 打印 HMAC 值
    System.out.println("HMAC 值：" + new BigInteger(1, result).toString(16));
}

}


使用Java标准库生成HmacMD5算法的随机密钥，并计算给定消息（“`HellArtisan`”）的HMAC值。




---


#### 用Hmac算法取代原有的自定义的加盐算法


我们可以用Hmac算法取代原有的自定义的加盐算法，因此，存储用户名和口令的数据库结构如下：

username	secret_key	password
bob	a8c06e05f92e…5e16	7e0387872a57c85ef6dddbaa12f376de
alice	e6a343693985…f4be	c1f929ac2552642b302e739bc0cdbaac
tim	f27a973dfdc0…6003	af57651c3a8a73303515804d4af43790


每行包含用户名（username）、随机生成的密钥（secret\_key，长度为64字节），以及使用Hmac算法生成的密码哈希值（password）。密钥用于计算Hmac，确保密码的安全性。

package com.artisan.securityalgjava.hmac;

import java.util.Arrays;
import javax.crypto.*;
import javax.crypto.spec.*;

/**
* HMAC示例：使用预先生成的密钥计算HMAC值
* @author artisan
*/
public class HmacVerifyTest {

public static void main(String[] args) throws Exception {
    // 预先生成的密钥
    byte[] hkey = new byte[]{106, 70, -110, 125, 39, -20, 52, 56, 85, 9, -19, -72, 52, -53, 52, -45, -6, 119, -63,
            30, 20, -83, -28, 77, 98, 109, -32, -76, 121, -106, 0, -74, -107, -114, -45, 104, -104, -8, 2, 121, 6,
            97, -18, -13, -63, -30, -125, -103, -80, -46, 113, -14, 68, 32, -46, 101, -116, -104, -81, -108, 122,
            89, -106, -109};

    // 创建SecretKey对象
    SecretKey key = new SecretKeySpec(hkey, "HmacMD5");

    // 获取Mac实例并指定算法为HmacMD5
    Mac mac = Mac.getInstance("HmacMD5");

    // 使用密钥初始化Mac实例
    mac.init(key);

    // 更新消息
    mac.update("HelloArtisan".getBytes("UTF-8"));

    // 计算HMAC值
    byte[] result = mac.doFinal();

    // 打印HMAC值
    System.out.println(Arrays.toString(result));
    // [-22, 82, 110, 65, -70, -122, 93, 121, 48, 96, -40, -78, 126, 46, -47, 112]
}

}

// 创建SecretKey对象，使用预先生成的密钥字节数组和算法名称"HmacMD5"
SecretKey key = new SecretKeySpec(hkey, “HmacMD5”);





还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！


王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。


对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！


【完整版领取方式在文末！！】


***93道网络安全面试题***


![](https://img-blog.csdnimg.cn/img_convert/6679c89ccd849f9504c48bb02882ef8d.png)








![](https://img-blog.csdnimg.cn/img_convert/07ce1a919614bde78921fb2f8ddf0c2f.png)





![](https://img-blog.csdnimg.cn/img_convert/44238619c3ba2d672b5b8dc4a529b01d.png)





内容实在太多，不一一截图了


### 黑客学习资源推荐


最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！


对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

#### 1️⃣零基础入门


##### ① 学习路线


对于从来没有接触过网络安全的同学，我们帮你准备了详细的**学习成长路线图**。可以说是**最科学最系统的学习路线**，大家跟着这个大的方向学习准没问题。


![image](https://img-blog.csdnimg.cn/img_convert/acb3c4714e29498573a58a3c79c775da.gif#pic_center)


##### ② 路线对应学习视频


同时每个成长路线对应的板块都有配套的视频提供：


![image-20231025112050764](https://img-blog.csdnimg.cn/874ad4fd3dbe4f6bb3bff17885655014.png#pic_center)

**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化资料的朋友，可以点击这里获取](https://bbs.csdn.net/forums/4f45ff00ff254613a03fab5e56a57acb)**

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

2401_84264727

关注

14
点赞
踩
5

收藏

觉得还不错? 一键收藏
0
评论
加密与安全_深入了解Hmac算法（消息认证码）_消息认证码使用的算法

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。需要完整版PDF学习资源私我。
复制链接

扫一扫