HMAC 인증관련 정보 부탁드려요

Question

가입되지 않은 사용자가 페이지 접근시 HMAC KEY 생성하고,해당 페이지에서의 경과시간이 오래되었을 경우 key생성시간 체크하여 redirect 시키고 싶습니다.또한 게시물을 작성 시에 생성된 key을 확인하여 생성된 key가 있을경우에만 작성할 수 있도록구현하고 있습니다..hmac관련된 설명과 간단한 예제는 많이 있는데,시간체크나, key확인 방법에 대한 정보좀 공유해주세요..환경은 스프링부트로 개발중입니다.

Hide_D · Answer

HMAC은 단방향이라서, 웹페이지 이동시에는 hmac값과 시간값(평문)이 같이 전송되어야 합니다.cookie로 넘기면 모든 페이지에 적용되는 것이니, get이나 post에 붙여서 보내는 것이 좋겠습니다.검증은 인자에 들어간 HMAC(server_key, concat(유저정보, 시간)) &#61;&#61; key 인지를 확인하면 되구요. 만약 시간 값이 그대로 드러나는것이 걸린다면 hmac 대신 그냥 동일한 시간(unix time으로 64bit)값을 두개 이어붙여서 128비트 값을 만들어 aes로 암호화 &#43; base64로 인코딩해 토큰으로 사용하는것도 방법이겠습니다. 이 경우 올바른 키값인지의 여부는 전달받고 복호화한다음 앞 64비트와 뒤 64비트가 같은지 확인하면 되구요.

HMAC 인증관련 정보 부탁드려요

1개의 답변

Q&A 목록