HMAC (हैश-आधारित संदेश प्रमाणीकरण कोड) एक गुप्त कुंजी को हैश फ़ंक्शन के अंतर्गत संदेश के साथ जोड़ता है, जिससे एक छोटा मान उत्पन्न होता है जिसे केवल वही व्यक्ति पुन: उत्पन्न कर सकता है जिसके पास समान कुंजी और समान संदेश हो। यह आपको सार्वजनिक कुंजी क्रिप्टोग्राफी के बिना प्रामाणिकता और अखंडता दोनों प्रदान करता है।
प्रेषक HMAC(गुप्त, बॉडी) की गणना करता है और परिणाम को हेडर में डालता है। प्राप्तकर्ता प्राप्त बॉडी पर यही गणना करता है और तुलना करता है। यदि बॉडी या कुंजी में से कोई भी भिन्न हो, तो मान मेल नहीं खाते। तुलना स्थिर समय में होनी चाहिए: एक सामान्य स्ट्रिंग तुलना पहले भिन्न बाइट पर ही जल्दी परिणाम देती है, जिससे पर्याप्त समय संबंधी जानकारी लीक हो जाती है और पर्याप्त प्रयासों के बाद एक वैध हस्ताक्षर का पुनर्निर्माण किया जा सकता है।
यह कहना गलत है कि हस्ताक्षर से प्रामाणिकता सिद्ध होती है — एक वैध हस्ताक्षरित पेलोड हमेशा वैध रहता है, इसलिए हमलावर इसे प्राप्त करके दोबारा उपयोग कर सकता है। यही कारण है कि हस्ताक्षर आमतौर पर बॉडी के साथ-साथ टाइमस्टैम्प पर भी गणना किए जाते हैं, और प्राप्तकर्ता कुछ मिनटों से अधिक पुराने किसी भी हस्ताक्षर को अस्वीकार कर देते हैं।
वेबहुक डिलीवरी को ट्रिगर करें और सदस्यता के समय आपको दिए गए गुप्त कोड के विरुद्ध `x-funapi-signature` सत्यापित करें। पेलोड में एक बाइट बदलने पर सत्यापन विफल हो जाएगा, और यही इसका मुख्य उद्देश्य है।
सभी शब्द · परीक्षण तकनीकें · सभी 39 मॉक REST API
आखरी अपडेट