ＨＭＡＣ

暗号化において、HMAC (キー付きハッシュ メッセージ認証コードまたはハッシュ ベース メッセージ認証コードとも呼ばれる) は、暗号化ハッシュ関数と秘密暗号化キーを含む特定の種類のメッセージ認証コード(MAC)です。他の MAC と同様に、メッセージのデータ整合性と信頼性の両方を同時に検証するために使用できます。HMAC は、キー導出スキームまたはキー ストレッチ スキームでも使用できるキー付きハッシュ関数の一種です。

HMAC は、非対称暗号化によるデジタル署名を使用する代わりに、共有秘密を使用して認証を提供できます。通信前に信頼できるチャネルを確立して使用し、鍵について合意する責任がある通信当事者に鍵交換を委任することで、 複雑な公開鍵インフラストラクチャの必要性をなくします。

SHA-2やSHA-3などの任意の暗号ハッシュ関数は、HMACの計算に使用できます。結果として得られるMACアルゴリズムはHMAC- xと呼ばれます。ここで、xは使用されるハッシュ関数です（例：HMAC-SHA256またはHMAC-SHA3-512）。HMACの暗号強度は、基礎となるハッシュ関数の暗号強度、ハッシュ出力のサイズ、およびキーのサイズと品質に依存します。^[1]

HMAC はハッシュ計算を 2 パス使用します。どちらのパスでも、秘密キーを使用して内部キーと外部キーの 2 つのキーが導出されます。次に、ハッシュ アルゴリズムの最初のパスで、メッセージと内部キーから導出された内部ハッシュが生成されます。2 番目のパスでは、内部ハッシュの結果と外部キーから導出された最終的な HMAC コードが生成されます。したがって、このアルゴリズムは長さ拡張攻撃に対する耐性が高くなります。

反復ハッシュ関数（ Merkle-Damgård 構造を使用するもの）は、メッセージを固定サイズのブロックに分割し、圧縮関数を使用してそれらを反復します。たとえば、SHA-256 は 512 ビットのブロックで動作します。HMAC の出力のサイズは、基礎となるハッシュ関数のサイズと同じですが（たとえば、SHA-256 の場合は 256 ビット、SHA3-512 の場合は 512 ビット）、必要に応じて切り捨てることができます。

HMAC はメッセージを暗号化しません。その代わりに、メッセージ (暗号化されているかどうかに関係なく) を HMAC ハッシュと一緒に送信する必要があります。秘密キーを持つ当事者はメッセージを再度ハッシュし、メッセージが本物であれば、受信したハッシュと計算されたハッシュが一致します。

HMAC構造の定義と分析は、1996年にMihir Bellare、Ran Canetti、Hugo Krawczykによる論文で初めて公開され、^{[1] [2]}、彼らは1997年にRFC 2104も執筆しました。 ^{[3] ：§2} 1996年の論文では、NMAC（Nested MAC）と呼ばれるネストされたバリアントも定義されています。FIPS PUB 198は、HMACの使用を一般化し、標準化しています。^{[4] HMACは、} IPsec、^[2] SSHおよびTLSプロトコル、およびJSON Web Tokensで使用されます。

この定義は RFC 2104 から引用したものです。

${\displaystyle {\begin{aligned}\operatorname {HMAC} (K,m)&=\operatorname {H} {\Bigl (}{\bigl (}K'\oplus opad{\bigr )}\parallel \operatorname {H} {\bigl (}\left(K'\oplus ipad\right)\parallel m{\bigr )}{\Bigr )}\\K'&={\begin{cases}\operatorname {H} \left(K\right)&{\text{if}}\ K{\text{ is larger than block size}}\\K&{\text{otherwise}}\end{cases}}\end{aligned}}}$

どこ

${\displaystyle \operatorname {H} }$暗号ハッシュ関数です。

${\displaystyle m}$認証されるメッセージです。

${\displaystyle K}$秘密鍵です。

${\displaystyle K'}$秘密鍵Kから派生したブロック サイズの鍵です。ブロック サイズになるまで右側に 0 を埋め込むか、最初にブロック サイズ以下にハッシュしてから右側に 0 を埋め込むことによって派生されます。

${\displaystyle \parallel }$連結を表します。

${\displaystyle \oplus }$ビットごとの排他的論理和(XOR)を表します。

${\displaystyle opad}$ブロックサイズの外側のパディングで、0x5c の値を持つ繰り返しバイトで構成されます。

${\displaystyle ipad}$ブロックサイズの内部パディングであり、0x36の繰り返しバイトで構成される。^{[3] : §2}

次の擬似コードはHMACの実装方法を示しています。ブロックサイズは、SHA-1、MD5、RIPEMD-128のいずれかのハッシュ関数を使用する場合、512ビット（64バイト）です。^{[3] ：§2}

関数hmacの入力は次のとおりです
    : 
        key: Bytes     // バイト配列
        message: Bytes     // ハッシュするバイト配列
        hash: Function // 使用するハッシュ関数 (例: SHA-1) 
        blockSize: Integer   // ハッシュ関数のブロック サイズ (例: SHA-1 の場合は 64 バイト) 
        outputSize: Integer   // ハッシュ関数の出力サイズ (例: SHA-1 の場合は 20 バイト)

    // ブロックサイズのキーを計算する
    block_sized_key = computeBlockSizedKey(キー、ハッシュ、ブロックサイズ)

    o_key_pad ← block_sized_key xor [0x5c blockSize]    // 外側のパディングされたキー
    i_key_pad ← block_sized_key xor [0x36 blockSize]    // 内側のパディングされたキー

      ハッシュ(o_key_pad ‖ ハッシュ(i_key_pad ‖ メッセージ))を返します

関数computeBlockSizedKey の入力は次のとおりです
    : 
        key: Bytes     // バイト配列
        hash: Function // 使用するハッシュ関数 (例: SHA-1) 
        blockSize: Integer   // ハッシュ関数のブロック サイズ (例: SHA-1 の場合は 64 バイト)
 
    //ブロックサイズより長いキーはハッシュ化によって短縮されます
    if (length(key) > blockSize) then
        キー = ハッシュ(キー)

    // blockSizeより短いキーは、右側にゼロを埋め込んでblockSizeに合わせます
    。if (length(key) < blockSize) then return 
        Pad   (key, blockSize) // キーをゼロで埋めて、 blockSizeバイトの長さにします。

    リターン  キー

HMAC 仕様の設計は、キーとハッシュ関数を組み合わせるより単純なメカニズムに対する攻撃の存在をきっかけに行われました。たとえば、HMAC が提供するのと同じセキュリティは、MAC = H ( key ‖ message ) で実現できると考えるかもしれません。しかし、この方法には重大な欠陥があります。ほとんどのハッシュ関数では、キーを知らなくてもメッセージにデータを追加して別の有効な MAC を取得するのは簡単です (「長さ拡張攻撃」)。代替案である MAC = H ( message ‖ key )を使用してキーを追加すると、(キーなしの) ハッシュ関数で衝突を見つけた攻撃者が MAC で衝突を起こすという問題があります (同じハッシュを生成する 2 つのメッセージ m1 と m2 は、追加されたキーがハッシュされる前にハッシュ関数に同じ開始条件を提供するため、最終的なハッシュは同じになります)。MAC = H ( key ‖ message ‖ key ) を使用する方が優れていますが、さまざまなセキュリティ ペーパーで、2 つの異なるキーが使用される場合でも、このアプローチには脆弱性があることが示唆されています。^{[1] [7] [8]}

現在の HMAC 仕様はH ( key ‖ H ( key ‖ message )) として定義されていますが、ハッシュ関数の外部適用によって内部ハッシュの中間結果がマスクされるため、拡張攻撃は発見されていません。ipadとopadの値はアルゴリズムのセキュリティにとって重要ではありませんが、互いに大きなハミング距離を持つように定義されているため、内部キーと外部キーの共通ビットが少なくなります。HMAC のセキュリティ削減では、少なくとも 1 ビットは異なる必要があります。^{[引用が必要]}

NISTによってSHA-3コンペティションの優勝者として選ばれたKeccakハッシュ関数は、このネストされたアプローチを必要とせず、長さ拡張攻撃の影響を受けないため、メッセージの先頭にキーを追加するだけでMACを生成するために使用できます。^[9]

HMAC の暗号強度は、使用される秘密鍵のサイズと、基礎となるハッシュ関数のセキュリティに依存します。HMAC 構造のセキュリティは、使用されるハッシュ関数のセキュリティ特性に直接関係していることが証明されています。HMAC に対する最も一般的な攻撃は、秘密鍵を暴くためのブルート フォースです。HMAC は、基礎となるハッシュ アルゴリズムのみよりも衝突の影響を大幅に受けません。^{[2] [10] [11]} 特に、Mihir Bellare は、圧縮関数が PRF であるという唯一の仮定の下で、HMAC が疑似ランダム関数(PRF) であることを証明しました。^[12]したがって、HMAC-MD5 は、MD5 で見つかったのと同じ弱点に悩まされることはありません。^[13]

RFC 2104 では、「Bバイトより長いキーは、まずH を使用してハッシュする」ことが求められており、これは紛らわしい疑似衝突につながります。キーがハッシュ ブロック サイズ (SHA-1 の場合は 64 バイトなど) より長い場合、はHMAC(k, m)として計算されますHMAC(H(k), m)。この特性は、パスワード ハッシュのシナリオにおいて HMAC の潜在的な弱点として挙げられることがあります。長い ASCII 文字列と、ハッシュも ASCII 文字列になるランダム値を見つけることが可能であり、両方の値から同じ H​​MAC 出力が生成されるということが実証されています。^{[14] [15] [16]}

2006年、Jongsung Kim、Alex Biryukov、Bart Preneel、およびSeokhie Hongは、MD5とSHA-1の縮小版またはHAVAL、MD4、およびSHA-0の完全版を使用したHMACを、ランダム関数またはランダム関数を使用したHMACと区別する方法を示しました。差分識別子を使用すると、攻撃者はHMACに対する偽造攻撃を考案できます。さらに、差分識別子と矩形識別子は、第2原像攻撃につながる可能性があります。この知識があれば、MD4の完全版を使用したHMACを偽造できます。これらの攻撃は、HMACのセキュリティ証明と矛盾しませんが、既存の暗号ハッシュ関数に基づいてHMACへの洞察を提供します。^[17]

2009年、Xiaoyun Wang らは、関連キーを使用せずにHMAC-MD5を区別する攻撃を発表しました。この攻撃では、MD5を使用したHMACのインスタンス化と、 ²⁹⁷クエリを使用したランダム関数のインスタンス化を、確率0.87で区別できます。^[18]

2011年に、 MD5とHMAC-MD5のセキュリティに関する考慮事項をまとめた情報RFC 6151が公開されました。HMAC-MD5については、RFCは、 MD5ハッシュ関数自体のセキュリティは深刻に侵害されているものの、現在知られている「HMAC-MD5への攻撃は、メッセージ認証コードとして使用された場合、実用的な脆弱性を示唆していないようです」とまとめていますが、「新しいプロトコル設計では、HMAC-MD5を含む暗号スイートを含めるべきではない」とも付け加えています。^[13]

2011年5月には、SHAベースのHMACの抽象理論とソースコードを詳述したRFC 6234が公開されました。^[19]

以下に、入力に 8 ビット ASCII、出力に 16 進エンコードを想定した HMAC 値をいくつか示します。

HMAC_MD5("key", "素早い茶色のキツネは怠け者の犬を飛び越える") = 80070713463e7749b90c2dc24911e275

HMAC_SHA1("key", "素早い茶色のキツネは怠け者の犬を飛び越える") = de7c9b85b8b78aa6bc8a7a36f70a90701c9db4d9

HMAC_SHA256("key", "素早い茶色のキツネは怠け者の犬を飛び越える") = f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8

HMAC_SHA512("key", "素早い茶色のキツネは怠け者の犬を飛び越える") = b42af09057bac1e2d41708e48a902e09b5ff7f12ab428a4fe86653c73dd248fb82f948a549f7b791a5b41915ee4d1ec3935357e4e2317250d0372afa2ebeeb3a

• HMACベースのワンタイムパスワード

• オンライン HMAC ジェネレーター / テスター ツール
• FIPS PUB 198-1、キー付きハッシュメッセージ認証コード (HMAC)
• C HMAC実装
• Python HMAC実装
• Java実装
• Rust HMAC実装