Key Management: Hardcoded HMAC Key

Chaves HMAC embutidas em código podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia inserir uma chave HMAC em código fixo. A força criptográfica do HMAC depende da confidencialidade da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. A inserção de uma chave HMAC em código fixo permite que ela seja visualizada por qualquer pessoa com acesso à fonte, além de enfraquecer a força criptográfica da função.
Exemplo: O seguinte código usa uma chave inserida em código fixo para calcular o HMAC:

...
DATA: lo_hmac TYPE Ref To cl_abap_hmac,
             Input_string type string.

CALL METHOD cl_abap_hmac=>get_instance
  EXPORTING
    if_algorithm = 'SHA3'
    if_key       = 'secret_key'
  RECEIVING
    ro_object    = lo_hmac.

" update HMAC with input
lo_hmac->update( if_data = input_string ).

" finalise hmac
lo_digest->final( ).

...

Esse código será executado com êxito, mas qualquer usuário que tiver acesso a ele também terá acesso à chave HMAC. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC "hmacKey" inserida em código fixo, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.

Chaves HMAC embutidas em código podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia inserir uma chave HMAC em código fixo. A força criptográfica do HMAC depende da confidencialidade da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. A inserção de uma chave HMAC em código fixo permite que ela seja visualizada por qualquer pessoa com acesso à fonte, além de enfraquecer a força criptográfica da função.
Exemplo: O seguinte código usa uma chave inserida em código fixo para calcular o HMAC:

...
using (HMAC hmac = HMAC.Create("HMACSHA512"))
{
  string hmacKey = "lakdsljkalkjlksdfkl";
  byte[] keyBytes = Encoding.ASCII.GetBytes(hmacKey);
  hmac.Key = keyBytes;
  ...
}

Esse código será executado com êxito, mas qualquer usuário que tiver acesso a ele também terá acesso à chave HMAC. Depois que o programa é distribuído, provavelmente não haverá forma de alterar a chave HMAC "hmacKey" inserida em código fixo, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.

Chaves HMAC embutidas em código podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca insira uma chave HMAC em código fixo. A força criptográfica do HMAC depende da confidencialidade da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. A inserção de uma chave HMAC em código fixo permite que ela seja visualizada por qualquer pessoa com acesso à fonte, além de enfraquecer a força criptográfica da função.

Exemplo 1: O seguinte código usa uma chave inserida em código fixo para calcular o HMAC:

import "crypto/hmac"
...
hmac.New(sha256.New, []byte("secret"))
...

Esse código será executado com êxito, mas qualquer usuário que tenha acesso à fonte também terá acesso à chave HMAC criptografada. Depois que o programa é distribuído, não há forma de alterar a chave HMAC "secret" inserida em código fixo, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.

Chaves HMAC embutidas em código podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia inserir uma chave HMAC em código. A força criptográfica do HMAC depende da confidencialidade da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. A codificação de uma chave HMAC a torna disponível para qualquer pessoa com acesso à fonte e prejudica a força criptográfica da função.
Exemplo: O seguinte código usa uma chave inserida em código fixo para calcular o HMAC:

const hmacKey = "a secret";
const hmac = createHmac('sha256', hmacKey);
hmac.update(data);
...

Esse código será executado com êxito, mas qualquer usuário que tenha acesso a ele também terá acesso à chave HMAC. Após a distribuição do programa, provavelmente não há como alterar a hmacKey embutida em código, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.

Chaves HMAC embutidas em código podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia inserir uma chave HMAC em código fixo. A força criptográfica do HMAC depende da confidencialidade da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. A inserção de uma chave HMAC em código fixo permite que ela seja visualizada por qualquer pessoa com acesso à fonte, além de enfraquecer a força criptográfica da função.

Exemplo: O seguinte código usa uma chave inserida em código fixo para calcular o HMAC:

...
CCHmac(kCCHmacAlgSHA256, "secret", 6, plaintext, plaintextLen, &output);
...

Esse código será executado com êxito, mas qualquer usuário que tiver acesso a ele também terá acesso à chave HMAC. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC "secret" inserida em código fixo, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.

Chaves HMAC embutidas em código podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia inserir uma chave HMAC em código fixo. A força criptográfica do HMAC depende da confidencialidade da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. A inserção de uma chave HMAC em código fixo permite que ela seja visualizada por qualquer pessoa com acesso à fonte, além de enfraquecer a força criptográfica da função.

Exemplo 1: O seguinte código usa uma chave inserida em código fixo para calcular o HMAC:

import hmac
...
mac = hmac.new("secret", plaintext).hexdigest()
...

Esse código será executado com êxito, mas qualquer usuário que tiver acesso a ele também terá acesso à chave HMAC. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC "secret" inserida em código fixo, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.

Chaves HMAC embutidas em código podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia inserir uma chave HMAC em código fixo. A força criptográfica do HMAC depende da confidencialidade da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. A inserção de uma chave HMAC em código fixo permite que ela seja visualizada por qualquer pessoa com acesso à fonte, além de enfraquecer a força criptográfica da função.
Exemplo: O seguinte código usa uma chave inserida em código fixo para calcular o HMAC:

...
digest = OpenSSL::HMAC.digest('sha256', 'secret_key', data)
...

Esse código será executado com êxito, mas qualquer usuário que tiver acesso a ele também terá acesso à chave HMAC. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC "hmacKey" inserida em código fixo, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.

Chaves HMAC embutidas em código podem comprometer a segurança do sistema de uma maneira difícil de remediar.

Nunca é uma boa ideia inserir uma chave HMAC em código fixo. A força criptográfica do HMAC depende da confidencialidade da chave secreta, que é usada para o cálculo e a verificação dos valores de autenticação de mensagens. A inserção de uma chave HMAC em código fixo permite que ela seja visualizada por qualquer pessoa com acesso à fonte, além de enfraquecer a força criptográfica da função.

Exemplo: O seguinte código usa uma chave inserida em código fixo para calcular o HMAC:

...
CCHmac(UInt32(kCCHmacAlgSHA256), "secret", 6, plaintext, plaintextLen, &output)
...

Esse código será executado com êxito, mas qualquer usuário que tiver acesso a ele também terá acesso à chave HMAC. Depois que o programa é distribuído, provavelmente não há forma de alterar a chave HMAC "secret" inserida em código fixo, a não ser que um patch seja aplicado ao programa. Um funcionário desonesto com acesso a essas informações poderia usá-las para comprometer a função HMAC.