Key Management: Empty HMAC Key

Chaves HMAC vazias podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia usar uma chave HMAC vazia. A força criptográfica do HMAC depende do tamanho da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. Usar uma chave vazia enfraquece a força criptográfica da função HMAC.
Exemplo 1: O seguinte código usa uma chave vazia para calcular o HMAC:

...
DATA: lo_hmac TYPE Ref To cl_abap_hmac,
             Input_string type string.

CALL METHOD cl_abap_hmac=>get_instance
  EXPORTING
    if_algorithm = 'SHA3'
    if_key       = space
  RECEIVING
    ro_object    = lo_hmac.

" update HMAC with input
lo_hmac->update( if_data = input_string ).

" finalise hmac
lo_digest->final( ).

...

O código mostrado no Example 1 pode ser executado com êxito, mas qualquer usuário que tiver acesso a ele será capaz de descobrir que ele utiliza uma chave HMAC vazia. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC vazia, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC. Além disso, o código no Example 1 é vulnerável a ataques de falsificação e recuperação de chave.

Chaves HMAC vazias podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia usar uma chave HMAC vazia. A força criptográfica do HMAC depende do tamanho da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. Usar uma chave vazia enfraquece a força criptográfica da função HMAC.
Exemplo 1: O seguinte código usa uma chave vazia para calcular o HMAC:

...
using (HMAC hmac = HMAC.Create("HMACSHA512"))
{
  string hmacKey = "";
  byte[] keyBytes = Encoding.ASCII.GetBytes(hmacKey);
  hmac.Key = keyBytes;
  ...
}
...

O código no Example 1 pode ser executado com êxito, mas qualquer usuário que tiver acesso a ele será capaz de descobrir que ele utiliza uma chave HMAC vazia. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC vazia, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC. Além disso, o código no Example 1 é vulnerável a ataques de falsificação e recuperação de chave.

Chaves HMAC vazias podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca use uma chave HMAC vazia. A força criptográfica do HMAC depende do tamanho da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. Usar uma chave vazia enfraquece a força criptográfica da função HMAC.

Exemplo 1: O seguinte código usa uma chave vazia para calcular o HMAC:

import "crypto/hmac"
...
hmac.New(md5.New, []byte(""))
...

O código no Example 1 pode ser executado com êxito, mas qualquer usuário que tiver acesso a ele pode descobrir que ele utiliza uma chave HMAC vazia. Depois que o programa é distribuído, não há forma de alterar a chave HMAC vazia, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC. Além disso, o código no Example 1 é vulnerável a ataques de falsificação e recuperação de chave.

Chaves HMAC vazias podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia usar uma chave HMAC vazia. A força criptográfica do HMAC depende do tamanho da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. Usar uma chave vazia enfraquece a força criptográfica da função HMAC.
Exemplo 1: O código a seguir usa uma chave HMAC vazia para gerar o hash HMAC:

...
let hmacKey = "";
let hmac = crypto.createHmac("SHA256", hmacKey);
hmac.update(data);
...

O código no Exemplo 1 pode ser executado com êxito, mas qualquer usuário com acesso a ele poderá descobrir que ele utiliza uma chave HMAC vazia. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC vazia, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.

Chaves HMAC vazias podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia usar uma chave HMAC vazia. A força criptográfica do HMAC depende do tamanho da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. Usar uma chave vazia enfraquece a força criptográfica da função HMAC.

Exemplo 1: O seguinte código usa uma chave vazia para calcular o HMAC:

...
CCHmac(kCCHmacAlgSHA256, "", 0, plaintext, plaintextLen, &output);
...

O código no Example 1 pode ser executado com êxito, mas qualquer usuário que tiver acesso a ele será capaz de descobrir que ele utiliza uma chave HMAC vazia. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC vazia, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC. Além disso, o código no Example 1 é vulnerável a ataques de falsificação e recuperação de chave.

Chaves HMAC vazias podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia usar uma chave HMAC vazia. A força criptográfica do HMAC depende do tamanho da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. Usar uma chave vazia enfraquece a força criptográfica da função HMAC.

Exemplo 1: O seguinte código usa uma chave vazia para calcular o HMAC:

import hmac
...
mac = hmac.new("", plaintext).hexdigest()
...

O código no Example 1 pode ser executado com êxito, mas qualquer usuário que tiver acesso a ele será capaz de descobrir que ele utiliza uma chave HMAC vazia. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC vazia, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC. Além disso, o código no Example 1 é vulnerável a ataques de falsificação e recuperação de chave.

Chaves HMAC vazias podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia usar uma chave HMAC vazia. A força criptográfica do HMAC depende do tamanho da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. Usar uma chave vazia enfraquece a força criptográfica da função HMAC.

Exemplo 1: O seguinte código usa uma chave vazia para calcular o HMAC:

...
digest = OpenSSL::HMAC.digest('sha256', '', data)
...

O código no Example 1 pode ser executado com êxito, mas qualquer usuário que tiver acesso a ele será capaz de descobrir que ele utiliza uma chave HMAC vazia. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC vazia, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC. Além disso, o código no Example 1 é vulnerável a ataques de falsificação e recuperação de chave.

Chaves HMAC vazias podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia usar uma chave HMAC vazia. A força criptográfica do HMAC depende do tamanho da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. Usar uma chave vazia enfraquece a força criptográfica da função HMAC.

Exemplo 1: O seguinte código usa uma chave vazia para calcular o HMAC:

...
CCHmac(UInt32(kCCHmacAlgSHA256), "", 0, plaintext, plaintextLen, &output)
...

O código no Example 1 pode ser executado com êxito, mas qualquer usuário que tiver acesso a ele será capaz de descobrir que ele utiliza uma chave HMAC vazia. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC vazia, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC. Além disso, o código no Example 1 é vulnerável a ataques de falsificação e recuperação de chave.