Key Management: Empty HMAC Key

空白的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

使用空白 HMAC 金鑰絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的長度，該秘密金鑰用於計算和驗證訊息驗證值。使用空的金鑰會減弱 HMAC 函數的加密強度。
範例 1：以下程式碼使用空白金鑰來計算 HMAC：

...
DATA: lo_hmac TYPE Ref To cl_abap_hmac,
             Input_string type string.

CALL METHOD cl_abap_hmac=>get_instance
  EXPORTING
    if_algorithm = 'SHA3'
    if_key       = space
  RECEIVING
    ro_object    = lo_hmac.

" update HMAC with input
lo_hmac->update( if_data = input_string ).

" finalise hmac
lo_digest->final( ).

...

Example 1 中所示的程式碼能夠順利執行，但有程式碼存取權的任何人都能看出它使用了空的 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更空白 HMAC 金鑰。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。此外，Example 1 中的程式碼容易受到 forgery 和 key recovery 攻擊。

空白的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

使用空白 HMAC 金鑰絕對不是個好方法。 HMAC 的加密強度取決於秘密金鑰的長度，該秘密金鑰用於計算和驗證訊息驗證值。 使用空的金鑰會減弱 HMAC 函數的加密強度。
範例 1：以下程式碼使用空白金鑰來計算 HMAC：

...
using (HMAC hmac = HMAC.Create("HMACSHA512"))
{
  string hmacKey = "";
  byte[] keyBytes = Encoding.ASCII.GetBytes(hmacKey);
  hmac.Key = keyBytes;
  ...
}
...

Example 1 中的程式碼能夠順利執行，但有程式碼存取權的任何人都能看出它使用了空的 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更空白 HMAC 金鑰。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。此外，Example 1 中的程式碼容易受到 forgery 和 key recovery 攻擊。

空白的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

切勿使用空的 HMAC 金鑰。HMAC 的加密強度取決於秘密金鑰的長度，該秘密金鑰用於計算和驗證訊息驗證值。使用空的金鑰會減弱 HMAC 函數的加密強度。

範例 1：以下程式碼使用空白金鑰來計算 HMAC：

import "crypto/hmac"
...
hmac.New(md5.New, []byte(""))
...

Example 1 中的程式碼或許可以順利執行，但有程式碼存取權的任何人都能判斷出它使用了空的 HMAC 金鑰。程式發佈後，除非修補此程式，否則絕無可能變更空的 HMAC 金鑰。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。此外，Example 1 中的程式碼容易受到 forgery 和 key recovery 攻擊。

空白的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

使用空白 HMAC 金鑰絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的長度，該秘密金鑰用於計算和驗證訊息驗證值。使用空的金鑰會減弱 HMAC 函數的加密強度。
範例 1：以下程式碼使用空白 HMAC 金鑰來產生 HMAC 雜湊：

...
let hmacKey = "";
let hmac = crypto.createHmac("SHA256", hmacKey);
hmac.update(data);
...

範例 1 中的程式碼能夠順利執行，但有程式碼存取權的任何人都能看出它使用了空的 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更空白 HMAC 金鑰。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。

空白的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

使用空白 HMAC 金鑰絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的長度，該秘密金鑰用於計算和驗證訊息驗證值。使用空的金鑰會減弱 HMAC 函數的加密強度。

範例 1：以下程式碼使用空白金鑰來計算 HMAC：

...
CCHmac(kCCHmacAlgSHA256, "", 0, plaintext, plaintextLen, &output);
...

Example 1 中的程式碼能夠順利執行，但有程式碼存取權的任何人都能看出它使用了空的 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更空白 HMAC 金鑰。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。此外，Example 1 中的程式碼容易受到 forgery 和 key recovery 攻擊。

空白的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

使用空白 HMAC 金鑰絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的長度，該秘密金鑰用於計算和驗證訊息驗證值。使用空的金鑰會減弱 HMAC 函數的加密強度。

範例 1：以下程式碼使用空的金鑰來計算 HMAC：

import hmac
...
mac = hmac.new("", plaintext).hexdigest()
...

Example 1 中的程式碼能夠順利執行，但有程式碼存取權的任何人都能看出它使用了空的 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更空白 HMAC 金鑰。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。此外，Example 1 中的程式碼容易受到 forgery 和 key recovery 攻擊。

空白的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

使用空白 HMAC 金鑰絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的長度，該秘密金鑰用於計算和驗證訊息驗證值。使用空的金鑰會減弱 HMAC 函數的加密強度。

範例 1：以下程式碼使用空白金鑰來計算 HMAC：

...
digest = OpenSSL::HMAC.digest('sha256', '', data)
...

Example 1 中的程式碼能夠順利執行，但有程式碼存取權的任何人都能看出它使用了空的 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更空白 HMAC 金鑰。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。此外，Example 1 中的程式碼容易受到 forgery 和 key recovery 攻擊。

空白的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

使用空白 HMAC 金鑰絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的長度，該秘密金鑰用於計算和驗證訊息驗證值。使用空的金鑰會減弱 HMAC 函數的加密強度。

範例 1：以下程式碼使用空白金鑰來計算 HMAC：

...
CCHmac(UInt32(kCCHmacAlgSHA256), "", 0, plaintext, plaintextLen, &output)
...

Example 1 中的程式碼能夠順利執行，但有程式碼存取權的任何人都能看出它使用了空的 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更空白 HMAC 金鑰。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。此外，Example 1 中的程式碼容易受到 forgery 和 key recovery 攻擊。