Key Management: Hardcoded HMAC Key

硬式編碼的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

將 HMAC 金鑰硬式編碼絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的保密性，該秘密金鑰用於計算和驗證訊息驗證值。將 HMAC 金鑰硬式編碼，會讓擁有來源存取權的任何人都能檢視它，因此會減弱函數的加密強度。
範例：以下程式碼使用硬式編碼的金鑰來計算 HMAC：

...
DATA: lo_hmac TYPE Ref To cl_abap_hmac,
             Input_string type string.

CALL METHOD cl_abap_hmac=>get_instance
  EXPORTING
    if_algorithm = 'SHA3'
    if_key       = 'secret_key'
  RECEIVING
    ro_object    = lo_hmac.

" update HMAC with input
lo_hmac->update( if_data = input_string ).

" finalise hmac
lo_digest->final( ).

...

此程式碼能夠順利執行，但有程式碼存取權的任何人都可以存取 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更硬式編碼的 HMAC 金鑰「secret_key」。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。

硬式編碼的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

將 HMAC 金鑰硬式編碼絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的保密性，該秘密金鑰用於計算和驗證訊息驗證值。將 HMAC 金鑰硬式編碼，會讓擁有來源存取權的任何人都能檢視它，因此會減弱函數的加密強度。
範例：以下程式碼使用硬式編碼的金鑰來計算 HMAC：

...
using (HMAC hmac = HMAC.Create("HMACSHA512"))
{
  string hmacKey = "lakdsljkalkjlksdfkl";
  byte[] keyBytes = Encoding.ASCII.GetBytes(hmacKey);
  hmac.Key = keyBytes;
  ...
}

此程式碼能夠順利執行，但有程式碼存取權的任何人都可以存取 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更硬式編碼的 HMAC 金鑰「hmacKey」。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。

硬式編碼的 HMAC 認證會導致無法輕易修正系統的安全性問題。

切勿硬式編碼 HMAC 金鑰。HMAC 的加密強度取決於秘密金鑰的保密性，該秘密金鑰用於計算和驗證訊息驗證值。將 HMAC 金鑰硬式編碼，會讓擁有來源存取權的任何人都能檢視它，因此會減弱函數的加密強度。

範例 1：下列程式碼使用硬式編碼的金鑰來計算 HMAC：

import "crypto/hmac"
...
hmac.New(sha256.New, []byte("secret"))
...

此程式碼順利執行，但有程式碼存取權的任何人都可以存取 HMAC 金鑰。程式發佈後，除非修補此程式，否則絕無可能變更硬式編碼的 HMAC 金鑰「secret」。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。

硬式編碼的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

將 HMAC 金鑰硬式編碼絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的保密性，該秘密金鑰用於計算和驗證訊息驗證值。對 HMAC 金鑰硬式編碼，會讓擁有來源存取權的任何人都能使用它，因此會減弱函數的加密強度。
範例：下列程式碼使用硬式編碼的金鑰來計算 HMAC：

const hmacKey = "a secret";
const hmac = createHmac('sha256', hmacKey);
hmac.update(data);
...

此程式碼順利執行，但有存取權的任何人都可以存取 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更被硬式編碼的 hmacKey。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。

硬式編碼的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

將 HMAC 金鑰硬式編碼絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的保密性，該秘密金鑰用於計算和驗證訊息驗證值。將 HMAC 金鑰硬式編碼，會讓擁有來源存取權的任何人都能檢視它，因此會減弱函數的加密強度。

範例：以下程式碼使用硬式編碼的金鑰來計算 HMAC：

...
CCHmac(kCCHmacAlgSHA256, "secret", 6, plaintext, plaintextLen, &output);
...

此程式碼能夠順利執行，但有程式碼存取權的任何人都可以存取 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更硬式編碼的 HMAC 金鑰「secret」。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。

硬式編碼的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

將 HMAC 金鑰硬式編碼絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的保密性，該秘密金鑰用於計算和驗證訊息驗證值。將 HMAC 金鑰硬式編碼，會讓擁有來源存取權的任何人都能檢視它，因此會減弱函數的加密強度。

範例 1：以下程式碼使用硬式編碼的金鑰來計算 HMAC：

import hmac
...
mac = hmac.new("secret", plaintext).hexdigest()
...

此程式碼能夠順利執行，但有程式碼存取權的任何人都可以存取 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更硬式編碼的 HMAC 金鑰「secret」。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。

硬式編碼的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

將 HMAC 金鑰硬式編碼絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的保密性，該秘密金鑰用於計算和驗證訊息驗證值。將 HMAC 金鑰硬式編碼，會讓擁有來源存取權的任何人都能檢視它，因此會減弱函數的加密強度。
範例：以下程式碼使用硬式編碼的金鑰來計算 HMAC：

...
digest = OpenSSL::HMAC.digest('sha256', 'secret_key', data)
...

此程式碼能夠順利執行，但有程式碼存取權的任何人都可以存取 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更硬式編碼的 HMAC 金鑰「secret_key」。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。

硬式編碼的 HMAC 金鑰可能會導致無法輕易修正的系統安全性問題。

將 HMAC 金鑰硬式編碼絕對不是個好方法。HMAC 的加密強度取決於秘密金鑰的保密性，該秘密金鑰用於計算和驗證訊息驗證值。將 HMAC 金鑰硬式編碼，會讓擁有來源存取權的任何人都能檢視它，因此會減弱函數的加密強度。

範例：以下程式碼使用硬式編碼的金鑰來計算 HMAC：

...
CCHmac(UInt32(kCCHmacAlgSHA256), "secret", 6, plaintext, plaintextLen, &output)
...

此程式碼能夠順利執行，但有程式碼存取權的任何人都可以存取 HMAC 金鑰。程式發佈後，除非修補此程式，否則可能無法變更硬式編碼的 HMAC 金鑰「secret」。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害 HMAC 函數。