Quelltext der Seite HMAC

Ein '''HMAC''' (''hash-based message authentication code'' (Hash-basierter Nachrichtenauthentifizierungscode), manchmal erweitert als ''keyed-hash message authentication code'' (Schlüssel-Hash-Nachrichtenauthentifizierungscode)) ist ein [[Message Authentication Code]] (MAC), dessen Konstruktion auf einer [[Kryptologische Hash-Funktion|kryptografischen Hash-Funktion]], wie beispielsweise dem [[Secure Hash Algorithm]] (SHA), und einem geheimen [[Schlüssel (Kryptologie)|Schlüssel]] basiert.<ref>Stallings: ''Cryptography and Network Security. Principles and Practice.'' S.&nbsp;399–400.</ref> HMACs werden in <nowiki>RFC&nbsp;2104</nowiki><ref name="RFC2104" /> sowie im [[National Institute of Standards and Technology|NIST]] Standard FIPS 198 spezifiziert und in <nowiki>RFC&nbsp;4868</nowiki><ref>{{RFC-Internet |RFC=4868 |Titel=Using HMAC-SHA-256, HMAC-SHA-384, and HMAC-SHA-512 with IPsec |Datum=2007-05}}</ref> für den Einsatz in [[IPsec]] erweitert. Zudem können sie beispielsweise in den Protokollen [[Transport Layer Security|TLS]]<ref name="RFC5246" /> und [[Secure Shell|SSH]]<ref name="RFC4253" /> eingesetzt werden.

== Konstruktion ==
Der HMAC wird aus der Nachricht <math>M</math> und einem [[Geheimer Schlüssel|geheimen Schlüssel]] <math>K</math> mittels der Hash-Funktion <math>\mathrm{H}</math> nach <nowiki>RFC&nbsp;2104</nowiki> wie folgt berechnet.<ref name="RFC2104" /> <math>K</math> wird durch Anhängen von Null-Bytes (''padding'') auf die Blocklänge <math>B</math> der Hash-Funktion aufgefüllt;<ref name="RFC2104" /><ref name="padding">Im Sample Code im Appendix des <nowiki>RFC&nbsp;2104</nowiki> wird für das inner pad „0x36“ und für das outer pad „0x5c“ verwandt</ref> das sind 64 Byte (512 Bit) für viele Hash-Funktionen, z.&nbsp;B. für SHA-256. Für SHA3-256 oder SHAKE256 ist <math>B=136</math> (1088 Bit). Falls die Länge von <math>K</math> größer als die Blocklänge der Hash-Funktion ist, wird <math>K</math> durch <math>\mathrm{H}(K)</math> ersetzt.<ref name="RFC2104" />

: <math>\mathrm{HMAC}_K(M) = \mathrm{H}\Big( (K \oplus opad ) \;||\; \mathrm{H}\big( (K \oplus ipad ) \;||\; M\big)\Big)</math>

Die Werte <math>opad</math> (''outer pad'', ein String) und <math>ipad</math> (''inner pad'', ein weiterer String) sind dabei Konstanten,<ref name="padding" /> <math>\oplus</math> steht für die bitweise XOR-Operation und <math>\;||\;</math> für die Verknüpfung durch einfaches Zusammensetzen ([[Wort (Theoretische Informatik)#Konkatenation|Konkatenation]]).

Nach <nowiki>RFC&nbsp;2104</nowiki> sind beide Konstanten ''outer pad'' und ''inner pad'' wie folgt definiert:<ref name="RFC2104" />
: <math>opad = \underbrace{\mathrm{0x5C}\dotso\mathrm{0x5C}}_{\text{B-mal}} \text{ und } ipad = \underbrace{\mathrm{0x36}\dotso\mathrm{0x36}}_{\text{B-mal}}</math>.

== Entwurfsprinzipien ==
[[Datei:MerkleDamgard.svg|mini|hochkant=1.8|Merkle-Damgård-Konstruktion: Aus den Nachrichtenblöcken wird durch wiederholte Anwendung der Kompressionsfunktion der Hashwert erzeugt.]]

Die auf den ersten Blick umständlich anmutende Konstruktion resultiert aus der Tatsache, dass die meisten älteren kryptographischen Hashfunktionen auf der [[Merkle-Damgård-Konstruktion]] beruhen, also auf der Iteration einer Kompressionsfunktion.
So gibt es beispielsweise einen einfachen Angriff auf eine Konstruktion eines MACs als <math>H(K \| M)</math>. Aufgrund der Struktur der Hashfunktion kann leicht zu einem beliebigen <math>X</math> und dem Hashwert <math>H(M)</math> einer unbekannten Nachricht M der Hashwert <math>H(M \| X)</math> berechnet werden, wenn die Finalisierungsfunktion fehlt oder leicht umkehrbar ist. Damit kann aber auch <math>H(K \| M)</math> zu <math>H(K \| M \| X)</math> erweitert werden („length-extension“-Angriff).<ref name="BCK96" />

Wenn die zugrundeliegende Hashfunktion als [[Kollisionsresistenz|kollisionsresistent]] angenommen wird, sind einfache MAC-Konstruktionen möglich, beispielsweise die Berechnung als <math>H(M \| K)</math>. Die Konstruktion ist allerdings unsicher, sobald eine Kollision gefunden ist, denn wenn <math>H(M_1) = H(M_2)</math>, dann ist aufgrund der Struktur unabhängig vom Schlüssel K auch <math>H(M_1 \| K) = H(M_2 \| K)</math>.<ref name="BCK96" />

Die Idee der HMAC-Konstruktion ist, bei der Sicherheit nicht auf die Kollisionsresistenz der Hashfunktion, sondern auf schwächere Annahmen zu vertrauen. Aus diesem Grund ist ein auf [[Message-Digest Algorithm 5|MD5]] basierender HMAC immer noch sicher, obwohl für MD5 bereits Kollisionen gefunden wurden.

== Sicherheit ==

Falls die zugrundeliegende Kompressionsfunktion eine [[pseudozufällige Funktion]] ist, so ist auch die HMAC-Konstruktion eine pseudozufällige Funktion.<ref name="Bell06" /> Da jede pseudozufällige Funktion auch ein guter MAC ist,<ref name="BGM04" /> ist die HMAC-Konstruktion ebenfalls ein guter MAC. Der einfachste Angriff auf einen HMAC ist es, den zugrunde liegenden geheimen Schlüssel <math>K</math> beispielsweise mittels [[Brute-Force-Methode|Brute-Force]] zu erraten.

<nowiki>RFC&nbsp;6151</nowiki> wurde 2011 veröffentlicht, um die Sicherheit von MD5 und HMAC-MD5 zu bewerten. Für letzteres fasst es zusammen, dass –&nbsp;obwohl MD5 als kompromittiert anzusehen ist&nbsp;– die aktuell bekannten Angriffe gegen HMAC-MD5 keine „praktische Sicherheitslücke“ darstellen, wenn dieses als „Message Authentication Code benutzt wird“. Dennoch fügt es hinzu, dass für neue Protokolldesigns „HMAC-MD5 nicht mehr benutzt werden sollte“.<ref name="RFC6151" />

== Literatur ==
* {{Literatur
   |Autor=William Stallings
   |Titel=Cryptography and Network Security. Principles and Practice
   |Auflage=5.
   |Verlag=Pearson Education, publishing as Prentice Hall
   |Datum=2011
   |ISBN=978-0-13-705632-3
   |Sprache=en
   |Kommentar=International Edition}}

== Weblinks ==
* {{RFC-Internet |RFC=2104 |Titel=HMAC: Keyed-Hashing for Message Authentication |Datum=}}
* {{RFC-Internet |RFC=2202 |Titel=Test Cases for HMAC-MD5 and HMAC-SHA-1 |Datum=}}
* [https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.198-1.pdf FIPS PUB 198-1, ''The Keyed-Hash Message Authentication Code''.] (PDF; 126&nbsp;kB) nist.gov

== Einzelnachweise ==
<references>
<ref name="RFC2104">
{{RFC-Internet |RFC=2104 |Titel=HMAC: Keyed-Hashing for Message Authentication |Datum= |Autor=H. Krawczyk, M. Bellare, R. Canetti}}
</ref>
<ref name="RFC5246">
{{RFC-Internet |RFC=5246 |Titel=The Transport Layer Security (TLS) Protocol Version 1.2 |Datum= |Autor=T. Dierks, E. Rescorla}} {{" |Sprache=en |Text=The TLS record layer uses a keyed Message Authentication Code (MAC) to protect message integrity. The cipher suites defined in this document use a construction known as HMAC, described in [HMAC], which is based on a hash function. Other cipher suites MAY define their own MAC constructions, if needed.}}
</ref>
<ref name="RFC4253">
{{RFC-Internet |RFC=4253 |Titel=The Secure Shell (SSH) Transport Layer Protocol |Datum= |Autor=T. Ylonen, C. Lonvick}} {{" |Sprache=en |Text=The “hmac-*” algorithms are described in [RFC2104].}}
</ref>
<ref name="BCK96">
{{Literatur
 |Autor=Mihir Bellare, Ran Canetti, Hugo Krawczyk
 |Titel=Keying Hash Functions for Message Authentication
 |Sammelwerk=Advances in Cryptology – Crypto 96 Proceedings
 |Reihe=Lecture Notes in Computer Science
 |BandReihe=1109
 |Verlag=Springer
 |Datum=1996
 |Seiten=1–15
 |Sprache=en
 |Online=[https://cseweb.ucsd.edu/~mihir/papers/kmd5.pdf cseweb.ucsd.edu]
 |DOI=10.1007/3-540-68697-5_1}}
</ref>
<ref name="Bell06">
{{Literatur
 |Autor=Mihir Bellare
 |Titel=New Proofs for NMAC and HMAC: Security without Collision-Resistance
 |Sammelwerk=Advances in Cryptology – Crypto 2006 Proceedings
 |Reihe=Lecture Notes in Computer Science
 |BandReihe=4117
 |Verlag=Springer
 |Datum=2006
 |Seiten=602–619
 |Sprache=en
 |Online=[http://cseweb.ucsd.edu/~mihir/papers/hmac-new.html cseweb.ucsd.edu]
 |DOI=10.1007/11818175_36}}
</ref>
<ref name="BGM04">
{{Literatur
 |Autor=Mihir Bellare, Oded Goldreich, Anton Mityagin
 |Titel=The Power of Verification Queries in Message Authentication and Authenticated Encryption
 |Datum=2004
 |Sprache=en
 |Online=http://eprint.iacr.org/2004/309}}
</ref>
<ref name="RFC6151">
{{RFC-Internet |RFC=6151 |Titel=Updated Security Considerations for the MD5 Message-Digest and the HMAC-MD5 Algorithms |Datum=2011-03 |Autor=Sean Turner, Lily Chen}}
</ref>
</references>

[[Kategorie:Symmetrisches Kryptosystem]]
[[Kategorie:Abkürzung]]