HMAC Hesaplayıcı: SHA-1, SHA-256, SHA-512

Nasıl kullanılır?

1. Veriyi Mesaj alanına yazın. İkili veri için Mesaj biçimi altında Onaltılık ya da Base64 seçin.
2. Gizli anahtarı Anahtar alanına yazın ve Anahtar biçimi altında nasıl yazıldığını seçin.
3. HMAC değerleri tablosundaki dört satırı okuyun. İhtiyacınız olan değeri kopyalayın ya da sisteminizin verdiği değerle karşılaştırın.
4. Değerler başka bir sistemle farklıysa önce baytları kontrol edin: farklı bir satır sonu ya da kodlama farklı bir HMAC verir.

HMAC nedir?

HMAC (RFC 2104), yalnızca gizli anahtarı bilen birinin üretebileceği kısa bir değerdir: bir mesajın değiştirilmediğini ve anahtarı bilen birinden geldiğini gösterir. Anahtar ile mesaj, bir özet fonksiyonu H'den iki kez geçirilerek oluşturulur.

HMAC mesajı gizlemez. Mesajı olan herkes okuyabilir; HMAC yalnızca mesajın doğruluğunu kontrol etmeyi sağlar.

HMAC(K, m) = H((K XOR opad) || H((K XOR ipad) || m))

ipad = 0x36 baytının B kez tekrarı
opad = 0x5C baytının B kez tekrarı
B    = H'nin blok boyutu: SHA-1 ve SHA-256 için 64 bayt, SHA-384 ve SHA-512 için 128 bayt

Hangi özet fonksiyonu, hangi anahtar?

HMAC-SHA-256 en yaygın seçimdir; birçok webhook ve API bunu kullanır. HMAC-SHA-512 aynı yapının daha uzun çıktılı biçimidir. HMAC-SHA-1 eski sistemlerde hâlâ görülür; yeni tasarımlarda seçilmemelidir.

Anahtar rastgele ve en az özet çıktısı kadar uzun olmalıdır. Bir kelime ya da kısa bir cümleyle yazılmış anahtar kolay tahmin edilir ve tahmin edilen bir anahtarla HMAC değerinin bir anlamı kalmaz.

Onaltılık ve Base64

İki biçim de aynı baytları gösterir. Onaltılık her baytı iki rakamla yazar; SHA-256 değeri 64 rakamdır. Base64 üç baytı dört karakterle yazar; SHA-256 değeri 44 karakterdir ve sondaki = işareti dolgu içindir (RFC 4648).

• HMAC-SHA-1: 40 onaltılık rakam, 28 Base64 karakteri
• HMAC-SHA-256: 64 onaltılık rakam, 44 Base64 karakteri
• HMAC-SHA-384: 96 onaltılık rakam, 64 Base64 karakteri
• HMAC-SHA-512: 128 onaltılık rakam, 88 Base64 karakteri

Sık sorulan sorular