HMAC

Ein HMAC (hash-based message authentication code (Hash-basierter Nachrichtenauthentifizierungscode), manchmal erweitert als keyed-hash message authentication code (Schlüssel-Hash-Nachrichtenauthentifizierungscode)) ist ein Message Authentication Code (MAC), dessen Konstruktion auf einer kryptografischen Hash-Funktion, wie beispielsweise dem Secure Hash Algorithm (SHA), und einem geheimen Schlüssel basiert.[1] HMACs werden in RFC 2104[2] sowie im NIST Standard FIPS 198 spezifiziert und in RFC 4868[3] für den Einsatz in IPsec erweitert. Zudem können sie beispielsweise in den Protokollen TLS[4] und SSH[5] eingesetzt werden.

Konstruktion

Der HMAC wird aus der Nachricht ${\displaystyle M}$ und einem geheimen Schlüssel ${\displaystyle K}$ mittels der Hash-Funktion ${\displaystyle \mathrm {H} }$ nach RFC 2104 wie folgt berechnet.[2] ${\displaystyle K}$ wird durch Anhängen von Null-Bytes (padding) auf die Blocklänge ${\displaystyle B}$ der Hash-Funktion aufgefüllt;[2][6] das sind 64 Byte (512 Bit) für viele Hash-Funktionen, z. B. für SHA-256. Für SHA3-256 oder SHAKE256 ist ${\displaystyle B=136}$ (1088 Bit). Falls die Länge von ${\displaystyle K}$ größer als die Blocklänge der Hash-Funktion ist, wird ${\displaystyle K}$ durch ${\displaystyle \mathrm {H} (K)}$ ersetzt.[2]

${\displaystyle \mathrm {HMAC} _{K}(M)=\mathrm {H} {\Big (}(K\oplus opad)\;||\;\mathrm {H} {\big (}(K\oplus ipad)\;||\;M{\big )}{\Big )}}$

Die Werte ${\displaystyle opad}$ (outer pad, ein String) und ${\displaystyle ipad}$ (inner pad, ein weiterer String) sind dabei Konstanten,[6] ${\displaystyle \oplus }$ steht für die bitweise XOR-Operation und ${\displaystyle \;||\;}$ für die Verknüpfung durch einfaches Zusammensetzen (Konkatenation).

Nach RFC 2104 sind beide Konstanten outer pad und inner pad wie folgt definiert:[2]

${\displaystyle opad=\underbrace {\mathrm {0x5C} \dotso \mathrm {0x5C} } _{\text{B-mal}}{\text{ und }}ipad=\underbrace {\mathrm {0x36} \dotso \mathrm {0x36} } _{\text{B-mal}}}$.

Entwurfsprinzipien

Merkle-Damgård-Konstruktion: Aus den Nachrichtenblöcken wird durch wiederholte Anwendung der Kompressionsfunktion der Hashwert erzeugt.

Die auf den ersten Blick umständlich anmutende Konstruktion resultiert aus der Tatsache, dass die meisten älteren kryptographischen Hashfunktionen auf der Merkle-Damgård-Konstruktion beruhen, also auf der Iteration einer Kompressionsfunktion. So gibt es beispielsweise einen einfachen Angriff auf eine Konstruktion eines MACs als ${\displaystyle H(K\|M)}$. Aufgrund der Struktur der Hashfunktion kann leicht zu einem beliebigen ${\displaystyle X}$ und dem Hashwert ${\displaystyle H(M)}$ einer unbekannten Nachricht M der Hashwert ${\displaystyle H(M\|X)}$ berechnet werden, wenn die Finalisierungsfunktion fehlt oder leicht umkehrbar ist. Damit kann aber auch ${\displaystyle H(K\|M)}$ zu ${\displaystyle H(K\|M\|X)}$ erweitert werden („length-extension“-Angriff).[7]

Wenn die zugrundeliegende Hashfunktion als kollisionsresistent angenommen wird, sind einfache MAC-Konstruktionen möglich, beispielsweise die Berechnung als ${\displaystyle H(M\|K)}$. Die Konstruktion ist allerdings unsicher, sobald eine Kollision gefunden ist, denn wenn ${\displaystyle H(M_{1})=H(M_{2})}$, dann ist aufgrund der Struktur unabhängig vom Schlüssel K auch ${\displaystyle H(M_{1}\|K)=H(M_{2}\|K)}$.[7]

Die Idee der HMAC-Konstruktion ist, bei der Sicherheit nicht auf die Kollisionsresistenz der Hashfunktion, sondern auf schwächere Annahmen zu vertrauen. Aus diesem Grund ist ein auf MD5 basierender HMAC immer noch sicher, obwohl für MD5 bereits Kollisionen gefunden wurden.

Sicherheit

Falls die zugrundeliegende Kompressionsfunktion eine pseudozufällige Funktion ist, so ist auch die HMAC-Konstruktion eine pseudozufällige Funktion.[8] Da jede pseudozufällige Funktion auch ein guter MAC ist,[9] ist die HMAC-Konstruktion ebenfalls ein guter MAC. Der einfachste Angriff auf einen HMAC ist es, den zugrunde liegenden geheimen Schlüssel ${\displaystyle K}$ beispielsweise mittels Brute-Force zu erraten.

RFC 6151 wurde 2011 veröffentlicht, um die Sicherheit von MD5 und HMAC-MD5 zu bewerten. Für letzteres fasst es zusammen, dass – obwohl MD5 als kompromittiert anzusehen ist – die aktuell bekannten Angriffe gegen HMAC-MD5 keine „praktische Sicherheitslücke“ darstellen, wenn dieses als „Message Authentication Code benutzt wird“. Dennoch fügt es hinzu, dass für neue Protokolldesigns „HMAC-MD5 nicht mehr benutzt werden sollte“.[10]

Literatur

• William Stallings: Cryptography and Network Security. Principles and Practice. 5. Auflage. Pearson Education, publishing as Prentice Hall, 2011, ISBN 978-0-13-705632-3 (englisch, International Edition). 

Weblinks

• RFC: 2104 – HMAC: Keyed-Hashing for Message Authentication. (englisch).
• RFC: 2202 – Test Cases for HMAC-MD5 and HMAC-SHA-1. (englisch).
• FIPS PUB 198-1, The Keyed-Hash Message Authentication Code. (PDF; 126 kB) nist.gov

Einzelnachweise

1. Stallings: Cryptography and Network Security. Principles and Practice. S. 399–400.
2. H. Krawczyk, M. Bellare, R. Canetti: RFC: 2104 – HMAC: Keyed-Hashing for Message Authentication. (englisch).
3. RFC: 4868 – Using HMAC-SHA-256, HMAC-SHA-384, and HMAC-SHA-512 with IPsec. Mai 2007 (englisch).
4. T. Dierks, E. Rescorla: RFC: 5246 – The Transport Layer Security (TLS) Protocol Version 1.2. (englisch). “The TLS record layer uses a keyed Message Authentication Code (MAC) to protect message integrity. The cipher suites defined in this document use a construction known as HMAC, described in [HMAC], which is based on a hash function. Other cipher suites MAY define their own MAC constructions, if needed.”
5. T. Ylonen, C. Lonvick: RFC: 4253 – The Secure Shell (SSH) Transport Layer Protocol. (englisch). “The “hmac-*” algorithms are described in [RFC2104].”
6. Im Sample Code im Appendix des RFC 2104 wird für das inner pad „0x36“ und für das outer pad „0x5c“ verwandt
7. Mihir Bellare, Ran Canetti, Hugo Krawczyk: Keying Hash Functions for Message Authentication. In: Advances in Cryptology – Crypto 96 Proceedings (= Lecture Notes in Computer Science. Band 1109). Springer, 1996, S. 1–15, doi:10.1007/3-540-68697-5_1 (englisch, cseweb.ucsd.edu [PDF]). 
8. Mihir Bellare: New Proofs for NMAC and HMAC: Security without Collision-Resistance. In: Advances in Cryptology – Crypto 2006 Proceedings (= Lecture Notes in Computer Science. Band 4117). Springer, 2006, S. 602–619, doi:10.1007/11818175_36 (englisch, cseweb.ucsd.edu). 
9. Mihir Bellare, Oded Goldreich, Anton Mityagin: The Power of Verification Queries in Message Authentication and Authenticated Encryption. 2004 (englisch, iacr.org). 
10. Sean Turner, Lily Chen: RFC: 6151 – Updated Security Considerations for the MD5 Message-Digest and the HMAC-MD5 Algorithms. März 2011 (englisch).