ToB企服应用市场:ToB评测及商务社交产业平台

标题: 加密与安全_深入了解Hmac算法（消息认证码） [打印本页]
作者: 半亩花草    时间: 2024-10-15 16:17
标题: 加密与安全_深入了解Hmac算法（消息认证码）
文章目录


![在这里插入图片描述](https://img-
blog.csdnimg.cn/direct/8b921dea1de74dd6ba915caa8b24441f.png)
Pre

加密与安全_深入了解哈希算法中我们提到，
存储用户的哈希口令时，要加盐存储，目标就在于抵抗彩虹表攻击。
  1. digest = hash(input)
复制代码
正是因为相同的输入会产生相同的输出，我们加盐的目标就在于，使得输入有所变化：
  1. digest = hash(salt + input)
复制代码
这个salt可以看作是一个额外的“认证码”，同样的输入，差别的认证码，会产生差别的输出。因此，要验证输出的哈希，必须同时提供“认证码”。
Hmac算法就是一种基于密钥的消息认证码算法，它的全称是Hash-based Message Authentication
Code，是一种更安全的消息摘要算法 。
Hmac算法总是和某种哈希算法共同起来用的。比方，我们使用MD5算法，对应的就是HmacMD5算法，它相当于“加盐”的MD5：
  1. HmacMD5 ≈ md5(secure_random_key, input)
复制代码
HMAC概述

HMAC（Hash-based Message Authentication
Code）算法是一种基于哈希函数的消息认证码算法，用于验证消息的完备性和认证消息的发送者。它结合了哈希函数和密钥，通过将密钥与消息进行哈希运算来生成消息认证码。
HMAC的计算过程如下：
吸收方在吸收到消息后，也会使用相同的密钥和哈希函数来计算消息的HMAC值，并与发送方发送的HMAC值进行比较。如果两者一致，则消息完备且来自正当发送者；否则，可能存在消息被篡改或来自未经授权的发送者的风险。
通俗地讲，HMAC算法就像是一种“密码验证器”，它确保数据在传输过程中不被篡改。
想象你要给朋侪寄一封信，但你担心信被别人篡改了。你可以用HMAC来解决这个题目。起首，你会在信封上写下你的签名。但这次不是用笔签名，而是用一种特别的本事来生成一个“密钥”。这个密钥就像是你的个人密码，只有你和你的朋侪知道。
然后，你把这个签名和信一起寄出去。你的朋侪收到信后，也知道这个密钥。他会用同样的方法再次生成签名，然后比对你寄来的签名。如果两个签名一样，说明信没有被篡改，因为只有你和你的朋侪知道这个特别的“密码”。
所以，HMAC就是通过一种双重的“密码”验证机制，确保数据的完备性和安全性。HMAC算法具有较强的安全性和广泛的应用，常用于网络通信、数据传输、数字签名等范畴，以确保数据的完备性和安全性。
常见的Hmac算法

HMAC（Hash-based Message Authentication Code）算法可以与很多哈希函数结合使用，常用的哈希函数包罗：
这些算法提供了差别的哈希函数选项，可以根据安全性需求和性能考虑选择适合的算法。通常情况下，较新的SHA-256和SHA-512算法被认为比MD5和SHA-1更安全，因此在安全要求较高的场景中更常用。
Code

随机的key的生成 KeyGenerator

通过使用Java标准库中的KeyGenerator生成安全的随秘密钥，可以确保密钥的随机性和安全性，从而加强了加密算法的安全性。
KeyGenerator类提供了生成对称密钥的功能，可以根据指定的算法和安全随机数生成器来生成密钥。通常情况下，可以使用

这样生成的密钥通常会具有足够的长度和随机性，可以或许抵抗常见的密码攻击，如穷举搜索和字典攻击。因此，使用Java标准库中的KeyGenerator生成安全的随秘密钥是一种推荐的做法，有助于提高体系的安全性。
HmacMD5

HmacMD5可以看作带有一个安全的key的MD5。使用HmacMD5而不是用MD5加salt，有如下长处：

可见，Hmac本质上就是把key混入摘要的算法。验证此哈希时，除了原始的输入数据，还要提供key。
  1. package com.artisan.securityalgjava.hmac;
  3. import javax.crypto.KeyGenerator;
  4. import javax.crypto.Mac;
  5. import javax.crypto.SecretKey;
  6. import java.math.BigInteger;
  8. /**
  9. * @author 小工匠
  10. * @version 1.0
  11. * @mark: show me the code , change the world
  12. */
  13. public class HmacTest {
  15.     public static void main(String[] args)  throws  Exception{
  16.         // 创建 KeyGenerator 实例并指定算法为 HmacMD5
  17.         KeyGenerator keyGen = KeyGenerator.getInstance("HmacMD5");
  19.         // 生成随机密钥
  20.         SecretKey key = keyGen.generateKey();
  22.         // 打印随机生成的密钥
  23.         byte[] skey = key.getEncoded();
  24.         System.out.println("随机生成的密钥：" + new BigInteger(1, skey).toString(16));
  26.         // 创建 Mac 实例并指定算法为 HmacMD5
  27.         Mac mac = Mac.getInstance("HmacMD5");
  29.         // 初始化 Mac 实例
  30.         mac.init(key);
  32.         // 更新消息
  33.         mac.update("HellArtisan".getBytes("UTF-8"));
  35.         // 计算 HMAC 值
  36.         byte[] result = mac.doFinal();
  38.         // 打印 HMAC 值
  39.         System.out.println("HMAC 值：" + new BigInteger(1, result).toString(16));
  40.     }
  41. }
复制代码
使用Java标准库生成HmacMD5算法的随秘密钥，并计算给定消息（“HellArtisan”）的HMAC值。
用Hmac算法代替原有的自定义的加盐算法

我们可以用Hmac算法代替原有的自定义的加盐算法，因此，存储用户名和口令的数据库布局如下：
  1. | username | secret_key                        | password                              |
  2. |----------|----------------------------------|---------------------------------------|
  3. | bob      | a8c06e05f92e...5e16              | 7e0387872a57c85ef6dddbaa12f376de      |
  4. | alice    | e6a343693985...f4be              | c1f929ac2552642b302e739bc0cdbaac      |
  5. | tim      | f27a973dfdc0...6003              | af57651c3a8a73303515804d4af43790      |
复制代码
每行包含用户名（username）、随机生成的密钥（secret_key，长度为64字节），以及使用Hmac算法生成的密码哈希值（password）。密钥用于计算Hmac，确保密码的安全性。
  1. package com.artisan.securityalgjava.hmac;
  3. import java.util.Arrays;
  4. import javax.crypto.*;
  5. import javax.crypto.spec.*;
  7. /**
  8. * HMAC示例：使用预先生成的密钥计算HMAC值
  9. * @author artisan
  10. */
  11. public class HmacVerifyTest {
  13.     public static void main(String[] args) throws Exception {
  14.         // 预先生成的密钥
  15.         byte[] hkey = new byte[]{106, 70, -110, 125, 39, -20, 52, 56, 85, 9, -19, -72, 52, -53, 52, -45, -6, 119, -63,
  16.                 30, 20, -83, -28, 77, 98, 109, -32, -76, 121, -106, 0, -74, -107, -114, -45, 104, -104, -8, 2, 121, 6,
  17.                 97, -18, -13, -63, -30, -125, -103, -80, -46, 113, -14, 68, 32, -46, 101, -116, -104, -81, -108, 122,
  18.                 89, -106, -109};
  20.         // 创建SecretKey对象
  21.         SecretKey key = new SecretKeySpec(hkey, "HmacMD5");
  23.         // 获取Mac实例并指定算法为HmacMD5
  24.         Mac mac = Mac.getInstance("HmacMD5");
  26.         // 使用密钥初始化Mac实例
  27.         mac.init(key);
  29.         // 更新消息
  30.         mac.update("HelloArtisan".getBytes("UTF-8"));
  32.         // 计算HMAC值
  33.         byte[] result = mac.doFinal();
  35.         // 打印HMAC值
  36.         System.out.println(Arrays.toString(result));
  37.         // [-22, 82, 110, 65, -70, -122, 93, 121, 48, 96, -40, -78, 126, 46, -47, 112]
  38.     }
  39. }
  44. // 创建SecretKey对象，使用预先生成的密钥字节数组和算法名称"HmacMD5"
  45. SecretKey key = new SecretKeySpec(hkey, "HmacMD5");
复制代码
这行代码的作用是创建一个SecretKey对象，使用预先生成的密钥字节数组（hkey）作为密钥，同时指定算法名称为"HmacMD5"。
这就是恢复SecretKey的代码。
HmacMD5 VS MD5

相比于直接使用MD5哈希算法，使用HmacMD5算法必要经过一些额外的步骤来生成哈希值。
下面是使用HmacMD5算法生成哈希值的步骤：
这些步骤确保了使用HmacMD5算法生成哈希值时的安全性和精确性。
HmacMD5算法结合了MD5哈希算法和密钥，提供了更高的安全性和防御性，实用于必要对消息进行完备性验证和身份认证的场景。
HmacSHA256

https://github.com/aperezdc/hmac-sha256/blob/master/hmac-sha256.c
  1. package com.artisan.securityalgjava.hmac;
  3. import javax.crypto.Mac;
  4. import javax.crypto.spec.SecretKeySpec;
  5. import java.security.InvalidKeyException;
  6. import java.security.NoSuchAlgorithmException;
  7. /**
  8. * @author 小工匠
  9. * @version 1.0
  10. * @mark: show me the code , change the world
  11. */
  14. public class HmacSHA256Example {
  15.     public static void main(String[] args) {
  16.         // 要加密的消息
  17.         String message = "Hello, HMAC!";
  18.         // 密钥
  19.         String key = "secretKey";
  21.         try {
  22.             // 计算HMAC-SHA256值
  23.             byte[] result = calculateHmacSHA256(message, key);
  24.             // 将字节数组转换成十六进制字符串
  25.             String hmacSHA256 = bytesToHex(result);
  26.             // 打印HMAC-SHA256值
  27.             System.out.println("HMAC-SHA256: " + hmacSHA256);
  28.         } catch (NoSuchAlgorithmException | InvalidKeyException e) {
  29.             e.printStackTrace();
  30.         }
  31.     }
  33.     /**
  34.      * 计算HMAC-SHA256值
  35.      * @param message
  36.      * @param key
  37.      * @return
  38.      * @throws NoSuchAlgorithmException
  39.      * @throws InvalidKeyException
  40.      */
  41.     public static byte[] calculateHmacSHA256(String message, String key)
  42.             throws NoSuchAlgorithmException, InvalidKeyException {
  43.         // 创建HmacSHA256实例
  44.         Mac hmacSHA256 = Mac.getInstance("HmacSHA256");
  45.         // 创建密钥对象
  46.         SecretKeySpec secretKey = new SecretKeySpec(key.getBytes(), "HmacSHA256");
  47.         // 使用密钥初始化Mac实例
  48.         hmacSHA256.init(secretKey);
  49.         // 计算消息的HMAC-SHA256值并返回
  50.         return hmacSHA256.doFinal(message.getBytes());
  51.     }
  53.     /**
  54.      * 将字节数组转换成十六进制字符串
  55.      * @param bytes
  56.      * @return
  57.      */
  58.     public static String bytesToHex(byte[] bytes) {
  59.         StringBuilder result = new StringBuilder();
  60.         for (byte b : bytes) {
  61.             result.append(String.format("%02x", b));
  62.         }
  63.         return result.toString();
  64.     }
  65. }
复制代码
起首定义了要加密的消息和密钥。然后，使用calculateHmacSHA256方法计算消息的HMAC- SHA256值。末了，将计算得到的字节数组转换成十六进制字符串，并打印输出。
![在这里插入图片描述](https://img-
blog.csdnimg.cn/direct/0566faa5828f473e86f9e6f048dd4a28.jpeg#pic_center)
接下来我将给各位同学划分一张学习筹划表！
学习筹划

那么题目又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：
阶段一：低级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全低级筹划，当你学完后，你基本可以从事一份网络安全相关的工作，好比渗出测试、Web渗出、安全服务、安全分析等岗位；此中，如果你等保模块学的好，还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识（2天）
①了解行业相关配景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗出测试基础（1周）
①渗出测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③毛病扫描、毛病利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦探
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操纵体系基础（1周）
①Windows体系常见功能和命令
②Kali Linux体系常见功能和命令
③操纵体系安全（体系入侵排查/体系加固基础）
4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web毛病原理与防御：主动/被动攻击、DDOS攻击、CVE毛病复现
5、数据库基础操纵（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗出（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web毛病扫描工具
④Web渗出工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？
阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k
7、脚本编程学习（4周）
在网络安全范畴。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗出测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时间，通常必要对现有工具进行扩展，大概编写符合我们要求的工具、自动化脚本，这个时间就必要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目标，更是必要拥有编程能力。
零基础入门的同学，我发起选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完
用Python编写毛病的exp,然后写一个简单的网络爬虫
PHP基本语法学习并书写一个简单的博客体系
熟悉MVC架构，并试着学习一个PHP框架大概Python框架 (可选)
了解Bootstrap的布局大概CSS。
阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你必要的话可以点击这里



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4