然后,你把这个签名和信一起寄出去。你的朋友收到信后,也知道这个密钥。他会用同样的方法再次生成签名,然后比对你寄来的签名。如果两个签名一样,说明信没有被篡改,因为只有你和你的朋友知道这个特殊的“密码”。
所以,HMAC就是通过一种双重的“密码”验证机制,确保数据的完整性和安全性。HMAC算法具有较强的安全性和广泛的应用,常用于网络通信、数据传输、数字签名等领域,以确保数据的完整性和安全性。
常见的Hmac算法
HMAC(Hash-based Message Authentication Code)算法可以与许多哈希函数结合使用,常用的哈希函数包括:
- HMAC-MD5:使用MD5哈希函数生成HMAC。
- HMAC-SHA1:使用SHA-1哈希函数生成HMAC。
- HMAC-SHA256:使用SHA-256哈希函数生成HMAC。
- HMAC-SHA512:使用SHA-512哈希函数生成HMAC。
这些算法提供了不同的哈希函数选项,可以根据安全性需求和性能考虑选择适合的算法。通常情况下,较新的SHA-256和SHA-512算法被认为比MD5和SHA-1更安全,因此在安全要求较高的场景中更常用。
Code
随机的key的生成 KeyGenerator
通过使用Java标准库中的KeyGenerator
生成安全的随机密钥,可以确保密钥的随机性和安全性,从而增强了加密算法的安全性。
KeyGenerator
类提供了生成对称密钥的功能,可以根据指定的算法和安全随机数生成器来生成密钥。通常情况下,可以使用
KeyGenerator.getInstance(String algorithm)
方法来获取KeyGenerator
实例,- 然后使用
KeyGenerator.init(int keysize)
方法指定密钥的长度, - 最后通过
KeyGenerator.generateKey()
方法生成密钥。
这样生成的密钥通常会具有足够的长度和随机性,能够抵御常见的密码攻击,如穷举搜索和字典攻击。因此,使用Java标准库中的KeyGenerator
生成安全的随机密钥是一种推荐的做法,有助于提高系统的安全性。
HmacMD5
HmacMD5
可以看作带有一个安全的key的MD5
。使用HmacMD5
而不是用MD5加salt,有如下好处:
HmacMD5
使用的key长度是64字节,更安全;Hmac
是标准算法,同样适用于SHA-1等其他哈希算法;Hmac
输出和原有的哈希算法长度一致。
可见,Hmac本质上就是把key混入摘要的算法。验证此哈希时,除了原始的输入数据,还要提供key。
package com.artisan.securityalgjava.hmac;
import javax.crypto.KeyGenerator;
import javax.crypto.Mac;
import javax.crypto.SecretKey;
import java.math.BigInteger;
/\*\*
\* @author 小工匠
\* @version 1.0
\* @mark: show me the code , change the world
\*/
public class HmacTest {
public static void main(String[] args) throws Exception{
// 创建 KeyGenerator 实例并指定算法为 HmacMD5
KeyGenerator keyGen = KeyGenerator.getInstance("HmacMD5");
// 生成随机密钥
SecretKey key = keyGen.generateKey();
// 打印随机生成的密钥
byte[] skey = key.getEncoded();
System.out.println("随机生成的密钥:" + new BigInteger(1, skey).toString(16));
// 创建 Mac 实例并指定算法为 HmacMD5
Mac mac = Mac.getInstance("HmacMD5");
// 初始化 Mac 实例
mac.init(key);
// 更新消息
mac.update("HellArtisan".getBytes("UTF-8"));
// 计算 HMAC 值
byte[] result = mac.doFinal();
// 打印 HMAC 值
System.out.println("HMAC 值:" + new BigInteger(1, result).toString(16));
}
}
使用Java标准库生成HmacMD5算法的随机密钥,并计算给定消息(“HellArtisan
”)的HMAC值。
用Hmac算法取代原有的自定义的加盐算法
我们可以用Hmac算法取代原有的自定义的加盐算法,因此,存储用户名和口令的数据库结构如下:
| username | secret_key | password |
|----------|----------------------------------|---------------------------------------|
| bob | a8c06e05f92e...5e16 | 7e0387872a57c85ef6dddbaa12f376de |
| alice | e6a343693985...f4be | c1f929ac2552642b302e739bc0cdbaac |
| tim | f27a973dfdc0...6003 | af57651c3a8a73303515804d4af43790 |
每行包含用户名(username)、随机生成的密钥(secret_key,长度为64字节),以及使用Hmac算法生成的密码哈希值(password)。密钥用于计算Hmac,确保密码的安全性。
package com.artisan.securityalgjava.hmac;
import java.util.Arrays;
import javax.crypto.\*;
import javax.crypto.spec.\*;
/\*\*
\* HMAC示例:使用预先生成的密钥计算HMAC值
\* @author artisan
\*/
public class HmacVerifyTest {
public static void main(String[] args) throws Exception {
// 预先生成的密钥
byte[] hkey = new byte[]{106, 70, -110, 125, 39, -20, 52, 56, 85, 9, -19, -72, 52, -53, 52, -45, -6, 119, -63,
30, 20, -83, -28, 77, 98, 109, -32, -76, 121, -106, 0, -74, -107, -114, -45, 104, -104, -8, 2, 121, 6,
97, -18, -13, -63, -30, -125, -103, -80, -46, 113, -14, 68, 32, -46, 101, -116, -104, -81, -108, 122,
89, -106, -109};
// 创建SecretKey对象
SecretKey key = new SecretKeySpec(hkey, "HmacMD5");
// 获取Mac实例并指定算法为HmacMD5
Mac mac = Mac.getInstance("HmacMD5");
// 使用密钥初始化Mac实例
mac.init(key);
// 更新消息
mac.update("HelloArtisan".getBytes("UTF-8"));
// 计算HMAC值
byte[] result = mac.doFinal();
// 打印HMAC值
System.out.println(Arrays.toString(result));
// [-22, 82, 110, 65, -70, -122, 93, 121, 48, 96, -40, -78, 126, 46, -47, 112]
}
}
// 创建SecretKey对象,使用预先生成的密钥字节数组和算法名称"HmacMD5"
SecretKey key = new SecretKeySpec(hkey, "HmacMD5");
这行代码的作用是创建一个SecretKey对象,使用预先生成的密钥字节数组(hkey)作为密钥,同时指定算法名称为"HmacMD5"。
这就是恢复SecretKey
的代码。
HmacMD5 VS MD5
相比于直接使用MD5哈希算法,使用HmacMD5算法需要经过一些额外的步骤来生成哈希值。
下面是使用HmacMD5算法生成哈希值的步骤:
- 通过名称"
HmacMD5
"获取KeyGenerator
实例。 - 通过
KeyGenerator
创建一个SecretKey
实例,这个密钥将用于初始化Mac
实例。 - 通过名称"
HmacMD5
"获取Mac实例。 - 用
SecretKey
初始化Mac
实例,以指定使用的密钥。 - 对
Mac
实例反复调用update(byte[])
输入数据,可以多次调用update
方法以输入数据的不同部分。 - 调用
Mac
实例的doFinal()
方法获取最终的哈希值。
这些步骤确保了使用HmacMD5
算法生成哈希值时的安全性和正确性。 HmacMD5
算法结合了MD5
哈希算法和密钥,提供了更高的安全性和防御性,适用于需要对消息进行完整性验证和身份认证的场景。
HmacSHA256
https://github.com/aperezdc/hmac-sha256/blob/master/hmac-sha256.c
package com.artisan.securityalgjava.hmac;
import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.security.InvalidKeyException;
import java.security.NoSuchAlgorithmException;
/\*\*
\* @author 小工匠
\* @version 1.0
\* @mark: show me the code , change the world
\*/
public class HmacSHA256Example {
public static void main(String[] args) {
// 要加密的消息
String message = "Hello, HMAC!";
// 密钥
String key = "secretKey";
try {
// 计算HMAC-SHA256值
byte[] result = calculateHmacSHA256(message, key);
// 将字节数组转换成十六进制字符串
String hmacSHA256 = bytesToHex(result);
// 打印HMAC-SHA256值
System.out.println("HMAC-SHA256: " + hmacSHA256);
} catch (NoSuchAlgorithmException | InvalidKeyException e) {
e.printStackTrace();
}
}
/\*\*
\* 计算HMAC-SHA256值
\* @param message
\* @param key
\* @return
\* @throws NoSuchAlgorithmException
\* @throws InvalidKeyException
\*/
public static byte[] calculateHmacSHA256(String message, String key)
throws NoSuchAlgorithmException, InvalidKeyException {
// 创建HmacSHA256实例
Mac hmacSHA256 = Mac.getInstance("HmacSHA256");
// 创建密钥对象
SecretKeySpec secretKey = new SecretKeySpec(key.getBytes(), "HmacSHA256");
// 使用密钥初始化Mac实例
hmacSHA256.init(secretKey);
// 计算消息的HMAC-SHA256值并返回
return hmacSHA256.doFinal(message.getBytes());
}
/\*\*
\* 将字节数组转换成十六进制字符串
\* @param bytes
\* @return
\*/
### 一、网安学习成长路线图
网安所有方向的技术点做的整理,形成各个领域的知识点汇总,它的用处就在于,你可以按照上面的知识点去找对应的学习资源,保证自己学得较为全面。
![在这里插入图片描述](https://img-blog.csdnimg.cn/aa7be04dc8684d7ea43acc0151aebbf1.png)
### 二、网安视频合集
观看零基础学习视频,看视频学习是最快捷也是最有效果的方式,跟着视频中老师的思路,从基础到深入,还是很容易入门的。
![在这里插入图片描述](https://img-blog.csdnimg.cn/f0aeee2eec7a48f4ad7d083932cb095d.png)
### 三、精品网安学习书籍
当我学到一定基础,有自己的理解能力的时候,会去阅读一些前辈整理的书籍或者手写的笔记资料,这些笔记详细记载了他们对一些技术点的理解,这些理解是比较独到,可以学到不一样的思路。
![在这里插入图片描述](https://img-blog.csdnimg.cn/078ea1d4cda342f496f9276a4cda5fcf.png)
### 四、网络安全源码合集+工具包
光学理论是没用的,要学会跟着一起敲,要动手实操,才能将自己的所学运用到实际当中去,这时候可以搞点实战案例来学习。
![在这里插入图片描述](https://img-blog.csdnimg.cn/e54c0bac8f3049928b488dc1e5080fc5.png)
### 五、网络安全面试题
最后就是大家最关心的网络安全面试题板块
![在这里插入图片描述](https://img-blog.csdnimg.cn/15c1192cad414044b4dd41f3df44433d.png)![在这里插入图片描述](https://img-blog.csdnimg.cn/b07abbfab1fd4edc800d7db3eabb956e.png)
**网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。**
**[需要这份系统化资料的朋友,可以点击这里获取](https://bbs.csdn.net/topics/618540462)**
**一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!**