HMAC vs digital 签名 — what's 差集?

HMAC 我们 shared secret 键 — 两者 sender 和 receiver 能够 sign, 所以它 proves authenticity 仅到 parties 谁已经有键. Digital signatures use asymmetric 关键 — 仅私有键 holder 能够 sign, 任何人具有公共键能够验证.

哪个 hash algorithm 应该 I use 为 HMAC?

SHA-256 是现代默认. SHA-1 是已弃用但 HMAC-SHA1 是仍然 considered 安全 (HMAC's construction protects 针对 SHA-1's collision weakness). Avoid MD5-based HMAC 为新 systems.

生成 an HMAC and verify a message's authenticity

计算 a keyed-hash (HMAC) of a message to prove it came from someone sharing the secret, then verify a received HMAC.

1

HMAC combines secret 键具有 hash 函数到生成 tag 该 proves 两者完整性和 authenticity. Only 某人具有相同键能够生成或验证 tag. 它是 used 在 webhooks, API 签名, 和 JWT HS256.
2

HMAC 生成器 →
Enter 消息和 secret 键, 选择 hash algorithm (SHA-256 recommended). tool 输出 HMAC tag as hex 或 Base64.
3

hmac-generator
查看配方在工具链中打开

Use sign-and-验证链接: sign 消息, 然后验证它针对正确和 tampered 消息到 see 通过/失败在 one 运行.
4

当 verifying received webhook, recompute HMAC 遍历 raw 请求主体具有你的 shared secret 和比较在常量时间. 从不 use == 哪个是 vulnerable 到 timing attacks.

常见问题

HMAC vs digital 签名 — what's 差集?: HMAC 我们 shared secret 键 — 两者 sender 和 receiver 能够 sign, 所以它 proves authenticity 仅到 parties 谁已经有键. Digital signatures use asymmetric 关键 — 仅私有键 holder 能够 sign, 任何人具有公共键能够验证.
哪个 hash algorithm 应该 I use 为 HMAC?: SHA-256 是现代默认. SHA-1 是已弃用但 HMAC-SHA1 是仍然 considered 安全 (HMAC's construction protects 针对 SHA-1's collision weakness). Avoid MD5-based HMAC 为新 systems.

解决此任务的工作流

HMAC 签名后 Base64 编码

生成 HMAC 签名后 Base64 编码，用于 API 认证头。

管道

HMAC 签名并验证

为消息生成 HMAC 签名并与期望签名比对验证。

管道

HMAC 签名 API 请求字符串

为请求载荷生成 HMAC-SHA256 签名，用于认证 API 调用。

管道

常见问题

解决此任务的工作流

相关工具