HMAC

Формула

По RFC 2104 (разд. 2) для хеш-функции H с длиной блока B байт и длиной дайджеста L байт:

$\mathrm{HMAC}(K, \text{text}) = H\big((K \oplus \text{opad}) \,\|\, H((K \oplus \text{ipad}) \,\|\, \text{text})\big)$

где ipad — байт 0x36, повторённый B раз, opad — байт 0x5C, повторённый B раз, а ключ K предварительно дополнен нулями до B байт. Два вложенных вызова хеша защищают от атак на простую конструкцию «хеш от ключа и сообщения». Промежуточные состояния после блоков K ⊕ ipad и K ⊕ opad можно вычислить один раз и хранить (разд. 4) — это экономит два блока на каждое короткое сообщение, но хранить их нужно как секрет.

Значения для MD5 и SHA-1 — из RFC 2104; для SHA-256 длина дайджеста 32 байта и блок 64 байта следуют из определения функции, а минимум усечения — половина дайджеста по правилу разд. 5 (наш расчёт). Проверить реализацию можно по векторам RFC 4231: для ключа из 20 байт 0x0b и текста «Hi There» HMAC-SHA-256 равен b0344c61…2e32cff7.

Ключ и усечение

Ключ может быть любой длины до B; более длинный сначала хешируется до L байт. Ключ короче L настоятельно не рекомендуется, а длиннее L стойкости почти не добавляет (разд. 3). Ключи выбирают случайно — на контроллере источником служит аппаратный ГСЧ — и периодически обновляют. Вывод разрешено усекать до t старших бит с обозначением HMAC-H-t, например HMAC-SHA1-80, но не меньше половины дайджеста и не меньше 80 бит (разд. 5).

Где применяется

• Сообщения по сети. Подпись команд и телеметрии между устройством и собственным сервером, когда у обеих сторон один ключ; в TLS 1.3 значения HMAC служат binder'ами в расширении pre_shared_key при аутентификации по PSK. Как встроить код в кадр протокола, разобрано в статье «Реализация протоколов».
• Прошивки. HMAC годится, когда проверяющий тоже владеет ключом: например, устройство проверяет образ обновления по воздуху от своего сервера. Но любой, кто может проверить HMAC, может его и создать, поэтому для образов, которые проверяют массово выпущенные устройства, используют подписи с открытым ключом — см. безопасную загрузку.
• Аппаратный блок. В ESP32-S3 модуль HMAC считает SHA256-HMAC с ключом, прожжённым в один из блоков eFuse 4–9, который можно сделать нечитаемым для программы; у каждого блока задано назначение: HMAC для прошивки (значение 8), ключ для блока RSA Digital Signature или разрешение программно отключённого JTAG, для чего токеном служит HMAC-SHA256 от 32 нулевых байт. Так ключ никогда не попадает в ОЗУ, в отличие от программной реализации в mbedTLS. Шифрование при этом остаётся отдельной задачей — её решает AES.