HMAC

En criptografía , un HMAC (a veces abreviado como código de autenticación de mensajes basado en hash o código de autenticación de mensajes basado en hash ) es un tipo específico de código de autenticación de mensajes (MAC) que utiliza una función hash criptográfica y una clave criptográfica secreta. Al igual que cualquier MAC, puede utilizarse para verificar simultáneamente la integridad y la autenticidad de los datos de un mensaje. Un HMAC es un tipo de función hash con clave que también puede utilizarse en un esquema de derivación de clave o en un esquema de extensión de clave.

HMAC permite la autenticación mediante un secreto compartido en lugar de utilizar firmas digitales con criptografía asimétrica . Evita la necesidad de una infraestructura de clave pública compleja al delegar el intercambio de claves a las partes comunicantes, quienes son responsables de establecer y utilizar un canal de confianza para acordar la clave antes de la comunicación.

Cualquier función hash criptográfica, como SHA-2 o SHA-3 , puede utilizarse en el cálculo de un HMAC; el algoritmo MAC resultante se denomina HMAC- x , donde x es la función hash utilizada (por ejemplo, HMAC-SHA256 o HMAC-SHA3-512). La seguridad criptográfica del HMAC depende de la seguridad criptográfica de la función hash subyacente, del tamaño de su salida hash y del tamaño y la calidad de la clave. ^{[ 1 ]}

HMAC utiliza dos pasadas de cálculo de hash. Antes de cada pasada, se utiliza la clave secreta para derivar dos claves: una interna y otra externa. A continuación, la primera pasada del algoritmo de hash produce un hash interno derivado del mensaje y la clave interna. La segunda pasada produce el código HMAC final derivado del resultado del hash interno y la clave externa. De este modo, el algoritmo proporciona una mayor inmunidad contra los ataques de extensión de longitud .

Una función hash iterativa (que utiliza la construcción Merkle-Damgård ) divide un mensaje en bloques de tamaño fijo y los procesa mediante una función de compresión . Por ejemplo, SHA-256 opera con bloques de 512 bits. El tamaño de la salida de HMAC es el mismo que el de la función hash subyacente (por ejemplo, 256 y 512 bits en el caso de SHA-256 y SHA3-512, respectivamente), aunque puede truncarse si se desea.

HMAC no cifra el mensaje. En su lugar, el mensaje (cifrado o no) debe enviarse junto con el hash HMAC. Las partes que poseen la clave secreta volverán a aplicar el hash al mensaje y, si es auténtico, los hashes recibido y calculado coincidirán.

La definición y el análisis de la construcción HMAC se publicaron por primera vez en 1996 en un artículo de Mihir Bellare , Ran Canetti y Hugo Krawczyk , ^{[ 1 ] [ 2 ]} y también escribieron RFC 2104 en 1997. ^{[ 3 ] : §2} El artículo de 1996 también definió una variante anidada llamada NMAC (Nested MAC). FIPS PUB 198 generaliza y estandariza el uso de HMAC. ^{[ 4 ]} HMAC se utiliza dentro de los protocolos IPsec , ^{[ 2 ]} SSH y TLS y para JSON Web Tokens .

Esta definición se ha tomado de RFC 2104:

${\displaystyle {\begin{aligned}\operatorname {HMAC} (K,m)&=\operatorname {H} {\Bigl (}{\bigl (}K'\oplus opad{\bigr )}\parallel \operatorname {H} {\bigl (}\left(K'\oplus ipad\right)\parallel m{\bigr )}{\Bigr )}\\K'&={\begin{cases}\operatorname {H} \left(K\right)&{\text{si}}\ K{\text{ es mayor que el tamaño del bloque}}\\K&{\text{en otro caso}}\end{cases}}\end{aligned}}}$

dónde

${\displaystyle \operatorname {H} }$es una función hash criptográfica.

${\displaystyle m}$es el mensaje que se va a autenticar.

${\displaystyle K}$es la llave secreta.

${\displaystyle K'}$es una clave del tamaño de un bloque derivada de la clave secreta, K ; ya sea rellenando a la derecha con 0 hasta el tamaño del bloque, o reduciendo primero a un valor menor o igual al tamaño del bloque y luego rellenando a la derecha con ceros.

${\displaystyle \parallel }$denota concatenación .

${\displaystyle \oplus }$denota la operación OR exclusiva a nivel de bits (XOR).

${\displaystyle opad}$es el relleno exterior del tamaño de un bloque, que consiste en bytes repetidos con valor 0x5c.

${\displaystyle ipad}$es el relleno interno del tamaño del bloque, que consiste en bytes repetidos con valor 0x36. ^{[ 3 ] : §2}

El siguiente pseudocódigo demuestra cómo se puede implementar HMAC. El tamaño del bloque es de 512 bits (64 bytes) cuando se utiliza una de las siguientes funciones hash: SHA-1, MD5, RIPEMD-128. ^{[ 3 ] : §2}

La función hmac es la siguiente: key: Bytes // Matriz de bytes message: Bytes // Matriz de bytes que se van a hashear hash: Function // La función hash que se va a utilizar (por ejemplo, SHA-1) blockSize: Integer // El tamaño del bloque de la función hash (por ejemplo, 64 bytes para SHA-1)// Calcular la clave del tamaño del bloque block_sized_key = computeBlockSizedKey(key, hash, blockSize) o_key_pad ← block_sized_key xor [0x5c blockSize] // Tecla con relleno exterior i_key_pad ← block_sized_key xor [0x36 blockSize] // Tecla con relleno interiorreturn hash(o_key_pad ∥ hash(i_key_pad ∥ mensaje))

La función computeBlockSizedKey recibe como entrada: key: Bytes // Matriz de bytes hash: Function // La función hash a utilizar (por ejemplo, SHA-1) blockSize: Integer // El tamaño del bloque de la función hash (por ejemplo, 64 bytes para SHA-1)// Las claves más largas que blockSize se acortan mediante hash si (length(key) > blockSize) entonces clave = hash(clave) // Las claves más cortas que blockSize se rellenan hasta blockSize añadiendo ceros a la derecha. if (length(key) < blockSize) then return Pad(key, blockSize) // Rellena la clave con ceros para que tenga blockSize bytes de longitud.tecla de retorno

El diseño de la especificación HMAC se motivó por la existencia de ataques a mecanismos más triviales para combinar una clave con una función hash. Por ejemplo, se podría suponer que la misma seguridad que proporciona HMAC se podría lograr con MAC = H ( clave ∥ mensaje ). Sin embargo, este método adolece de una grave vulnerabilidad: con la mayoría de las funciones hash, es fácil añadir datos al mensaje sin conocer la clave y obtener otro MAC válido (" ataque de extensión de longitud "). La alternativa, añadir la clave usando MAC = H ( mensaje ∥ clave ), presenta el problema de que un atacante que pueda encontrar una colisión en la función hash (sin clave) también encontrará una colisión en el MAC (ya que dos mensajes m1 y m2 que produzcan el mismo hash proporcionarán la misma condición inicial a la función hash antes de que se aplique la clave añadida, por lo que el hash final será el mismo). Usar MAC = H ( clave ∥ mensaje ∥ clave ) es mejor, pero varios documentos de seguridad han sugerido vulnerabilidades con este enfoque, incluso cuando se utilizan dos claves diferentes. ^{[ 1 ] [ 7 ] [ 8 ]}

No se han detectado ataques de extensión conocidos contra la especificación HMAC actual, definida como H ( clave ∥ H ( clave ∥ mensaje )), ya que la aplicación externa de la función hash enmascara el resultado intermedio del hash interno. Los valores de ipad y opad no son críticos para la seguridad del algoritmo, pero se definieron de tal manera que presentaran una gran distancia de Hamming entre sí, de modo que las claves interna y externa tendrán menos bits en común. La reducción de seguridad de HMAC sí requiere que difieran en al menos un bit.

La función hash Keccak , que fue seleccionada por NIST como ganadora de la competición SHA-3 , no necesita este enfoque anidado y puede utilizarse para generar un MAC simplemente anteponiendo la clave al mensaje, ya que no es susceptible a ataques de extensión de longitud. ^{[ 9 ]}

La robustez criptográfica del HMAC depende del tamaño de la clave secreta utilizada y de la seguridad de la función hash subyacente. Se ha demostrado que la seguridad de una construcción HMAC está directamente relacionada con las propiedades de seguridad de la función hash empleada. El ataque más común contra los HMAC es la fuerza bruta para descubrir la clave secreta. Los HMAC se ven sustancialmente menos afectados por las colisiones que sus algoritmos de hash subyacentes por sí solos. ^{[ 2 ] [ 10 ] [ 11 ]} En particular, Mihir Bellare demostró que HMAC es una función pseudoaleatoria (PRF) bajo el único supuesto de que la función de compresión es una PRF. ^{[ 12 ]} Por lo tanto, HMAC-MD5 no sufre las mismas debilidades que se han encontrado en MD5. ^{[ 13 ]}

RFC 2104 requiere que "las claves de más de B bytes se primero apliquen el hash H ", lo que genera una pseudocolisión confusa: si la clave es más larga que el tamaño del bloque hash (por ejemplo, 64 bytes para SHA-1), entonces HMAC(k, m)se calcula como HMAC(H(k), m). Esta propiedad a veces se plantea como una posible debilidad de HMAC en escenarios de hash de contraseñas: se ha demostrado que es posible encontrar una cadena ASCII larga y un valor aleatorio cuyo hash también será una cadena ASCII, y ambos valores producirán la misma salida HMAC. ^{[ 14 ] [ 15 ] [ 16 ]}

En 2006, Jongsung Kim , Alex Biryukov , Bart Preneel y Seokhie Hong demostraron cómo distinguir HMAC con versiones reducidas de MD5 y SHA-1 o versiones completas de HAVAL , MD4 y SHA-0 de una función aleatoria o HMAC con una función aleatoria. Los distinguidores diferenciales permiten a un atacante idear un ataque de falsificación contra HMAC. Además, los distinguidores diferenciales y rectangulares pueden conducir a ataques de segunda preimagen . Con este conocimiento, se puede falsificar HMAC con la versión completa de MD4 . Estos ataques no contradicen la prueba de seguridad de HMAC, sino que proporcionan información sobre HMAC basada en funciones hash criptográficas existentes. ^{[ 17 ]}

En 2009, Xiaoyun Wang et al. presentaron un ataque de distinción contra HMAC-MD5 sin usar claves relacionadas. Puede distinguir una instanciación de HMAC con MD5 de una instanciación con una función aleatoria con 2 ⁹⁷ consultas con una probabilidad de 0,87. ^{[ 18 ]}

En 2011 se publicó un RFC informativo, el RFC 6151, para resumir las consideraciones de seguridad en MD5 y HMAC-MD5. Para HMAC-MD5, el RFC resume que, si bien la seguridad de la función hash MD5 en sí misma está gravemente comprometida, los ataques conocidos actualmente contra HMAC-MD5 no parecen indicar una vulnerabilidad práctica cuando se utiliza como código de autenticación de mensajes. Sin embargo, también agrega que , para un nuevo diseño de protocolo, no se debe incluir un conjunto de cifrado con HMAC-MD5 . ^{[ 13 ]}

En mayo de 2011, se publicó el RFC 6234 que detalla la teoría abstracta y el código fuente para los HMAC basados ​​en SHA. ^{[ 19 ]}

Aquí se muestran algunos valores HMAC, suponiendo una entrada en ASCII de 8 bits y una salida codificada en hexadecimal:

HMAC_MD5("clave", "El rápido zorro marrón salta sobre el perro perezoso") = 80070713463e7749b90c2dc24911e275 HMAC_SHA1("clave", "El rápido zorro marrón salta sobre el perro perezoso") = de7c9b85b8b78aa6bc8a7a36f70a90701c9db4d9 HMAC_SHA256("clave", "El rápido zorro marrón salta sobre el perro perezoso") = f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8 HMAC_SHA512("clave", "El rápido zorro marrón salta sobre el perro perezoso") = b42af09057bac1e2d41708e48a902e09b5ff7f12ab428a4fe86653c73dd248fb82f948a549f7b791a5b41915ee4d1ec3935357e4e2317250d0372afa2ebeeb3a 

• Contraseña de un solo uso basada en HMAC

• Herramienta generadora/probadora de HMAC en línea
• FIPS PUB 198-1, Código de autenticación de mensajes con hash clave (HMAC). Archivado el 17 de febrero de 2013 en Wayback Machine.
• Implementación de C HMAC
• Implementación de HMAC en Python
• Implementación en Java
• Implementación de HMAC en Rust