Key Management: Hardcoded HMAC Key

ハードコーディングされた HMAC 鍵はシステムのセキュリティを危険にさらすことがありますが、この問題への対策は簡単ではありません。

HMAC 鍵をハードコーディングするのはよくない発想です。HMAC の暗号化の強度は、メッセージ認証値の計算と検証に使用される秘密鍵の機密性に依存します。HMAC 鍵のハードコーディングによって、ソースにアクセスできる誰もがそれを表示できるようになり、この関数の暗号化強度が損なわれます。
例: 次のコードでは、ハードコーディングされている鍵で HMAC を計算しています。

...
DATA: lo_hmac TYPE Ref To cl_abap_hmac,
             Input_string type string.

CALL METHOD cl_abap_hmac=>get_instance
  EXPORTING
    if_algorithm = 'SHA3'
    if_key       = 'secret_key'
  RECEIVING
    ro_object    = lo_hmac.

" update HMAC with input
lo_hmac->update( if_data = input_string ).

" finalise hmac
lo_digest->final( ).

...

このコードは正常に実行されますが、このコードにアクセスしたユーザーは HMAC 鍵にアクセスできます。プログラムが頒布された後は、プログラムにパッチを適用しない限り、ハードコーディングされた HMAC キー "secret_key" を変更することはできません。不心得な従業員がこの情報へのアクセス権を持っている場合、HMAC 関数の安全性が損なわれる可能性があります。

ハードコーディングされた HMAC 鍵はシステムのセキュリティを危険にさらすことがありますが、この問題への対策は簡単ではありません。

HMAC 鍵をハードコーディングするのはよくない発想です。HMAC の暗号化の強度は、メッセージ認証値の計算と検証に使用される秘密鍵の機密性に依存します。HMAC 鍵のハードコーディングによって、ソースにアクセスできる誰もがそれを表示できるようになり、この関数の暗号化強度が損なわれます。
例: 次のコードでは、ハードコーディングされている鍵で HMAC を計算しています。

...
using (HMAC hmac = HMAC.Create("HMACSHA512"))
{
  string hmacKey = "lakdsljkalkjlksdfkl";
  byte[] keyBytes = Encoding.ASCII.GetBytes(hmacKey);
  hmac.Key = keyBytes;
  ...
}

このコードは正常に実行されますが、このコードにアクセスしたユーザーは HMAC 鍵にアクセスできます。プログラムが頒布された後は、プログラムにパッチを適用しない限り、ハードコーディングされた HMAC キー "hmacKey" を変更することはできません。不心得な従業員がこの情報へのアクセス権を持っている場合、HMAC 関数の安全性が損なわれる可能性があります。

ハードコーディングされた HMAC 鍵はシステムのセキュリティを危険にさらすことがありますが、この問題への対策は簡単ではありません。

HMAC 鍵を決してハードコーディングしないでください。HMAC の暗号化の強度は、メッセージ認証値の計算と検証に使用される秘密鍵の機密性に依存します。HMAC 鍵のハードコーディングによって、ソースにアクセスできる誰もがそれを表示できるようになり、この関数の暗号化強度が損なわれます。

例 1: 次のコードでは、ハードコーディングされている鍵で HMAC を計算しています。

import "crypto/hmac"
...
hmac.New(sha256.New, []byte("secret"))
...

このコードは正常に実行されますが、ソースにアクセスできるユーザーは HMAC 鍵にアクセスできます。プログラムが頒布された後は、プログラムにパッチを適用しない限り、基本的に、ハードコーディングされた HMAC 鍵 "secret" を変更することはできません。不心得な従業員がこの情報へのアクセス権を持っている場合、HMAC 関数の安全性が損なわれる可能性があります。

ハードコーディングされた HMAC 鍵はシステムのセキュリティを危険にさらすことがありますが、この問題への対策は簡単ではありません。

HMAC 鍵をハードコーディングするのはよくない発想です。HMAC の暗号化の強度は、メッセージ認証値の計算と検証に使用される秘密鍵の機密性に依存します。HMAC 鍵のハードコーディングによって、ソースにアクセスできる誰もがそれを表示できるようになり、この関数の暗号化強度が損なわれます。

例: 次のコードでは、ハードコーディングされている鍵で HMAC を計算しています。

...
CCHmac(kCCHmacAlgSHA256, "secret", 6, plaintext, plaintextLen, &output);
...

このコードは正常に実行されますが、このコードにアクセスしたユーザーは HMAC 鍵にアクセスできます。プログラムが頒布された後は、プログラムにパッチを適用しない限り、基本的に、ハードコーディングされた HMAC キー "secret" を変更することはできません。不心得な従業員がこの情報へのアクセス権を持っている場合、HMAC 関数の安全性が損なわれる可能性があります。

ハードコーディングされた HMAC 鍵はシステムのセキュリティを危険にさらすことがありますが、この問題への対策は簡単ではありません。

HMAC 鍵をハードコーディングするのはよくない発想です。HMAC の暗号化の強度は、メッセージ認証値の計算と検証に使用される秘密鍵の機密性に依存します。HMAC 鍵のハードコーディングによって、ソースにアクセスできる誰もがそれを表示できるようになり、この関数の暗号化強度が損なわれます。

例 1: 次のコードでは、ハードコーディングされている鍵で HMAC を計算しています。

import hmac
...
mac = hmac.new("secret", plaintext).hexdigest()
...

このコードは正常に実行されますが、このコードにアクセスしたユーザーは HMAC 鍵にアクセスできます。プログラムが頒布された後は、プログラムにパッチを適用しない限り、基本的に、ハードコーディングされた HMAC キー "secret" を変更することはできません。不心得な従業員がこの情報へのアクセス権を持っている場合、HMAC 関数の安全性が損なわれる可能性があります。

ハードコーディングされた HMAC 鍵はシステムのセキュリティを危険にさらすことがありますが、この問題への対策は簡単ではありません。

HMAC 鍵をハードコーディングするのはよくない発想です。HMAC の暗号化の強度は、メッセージ認証値の計算と検証に使用される秘密鍵の機密性に依存します。HMAC 鍵のハードコーディングによって、ソースにアクセスできる誰もがそれを表示できるようになり、この関数の暗号化強度が損なわれます。
例: 次のコードでは、ハードコーディングされている鍵で HMAC を計算しています。

...
digest = OpenSSL::HMAC.digest('sha256', 'secret_key', data)
...

このコードは正常に実行されますが、このコードにアクセスしたユーザーは HMAC 鍵にアクセスできます。プログラムが頒布された後は、プログラムにパッチを適用しない限り、ハードコーディングされた HMAC キー "secret_key" を変更することはできません。不心得な従業員がこの情報へのアクセス権を持っている場合、HMAC 関数の安全性が損なわれる可能性があります。

ハードコーディングされた HMAC 鍵はシステムのセキュリティを危険にさらすことがありますが、この問題への対策は簡単ではありません。

HMAC 鍵をハードコーディングするのはよくない発想です。HMAC の暗号化の強度は、メッセージ認証値の計算と検証に使用される秘密鍵の機密性に依存します。HMAC 鍵のハードコーディングによって、ソースにアクセスできる誰もがそれを表示できるようになり、この関数の暗号化強度が損なわれます。

例: 次のコードでは、ハードコーディングされている鍵で HMAC を計算しています。

...
CCHmac(UInt32(kCCHmacAlgSHA256), "secret", 6, plaintext, plaintextLen, &output)
...

このコードは正常に実行されますが、このコードにアクセスしたユーザーは HMAC 鍵にアクセスできます。プログラムが頒布された後は、プログラムにパッチを適用しない限り、基本的に、ハードコーディングされた HMAC キー "secret" を変更することはできません。不心得な従業員がこの情報へのアクセス権を持っている場合、HMAC 関数の安全性が損なわれる可能性があります。