HMAC : Hash-based Message Authentication Code
Cryptographie
Algorithme cryptographique combinant une fonction de hachage et une clé secrète pour garantir l'intégrité et l'authenticité d'un message.
Principe : HMAC utilise une fonction de hachage cryptographique (ex : SHA-256) associée à une clé secrète pour produire un code d'authentification unique au message.
Usage : Employé pour vérifier que les données n'ont pas été modifiées et proviennent d'une source authentifiée, notamment dans les protocoles réseau et les API sécurisées.
Avantages : Résiste aux attaques par collision sur la fonction de hachage seule, et ne nécessite pas de chiffrement asymétrique, offrant un bon compromis entre sécurité et performance.
Implémentation : Standardisé dans plusieurs protocoles (ex : TLS, IPsec) et souvent supporté par les modules cryptographiques via PKCS#11.
Ce qui arrive si on s'en passe
Sans code d'authentification comme HMAC, un destinataire n'a aucun moyen de savoir si un message a été modifié en chemin ni s'il vient bien du détenteur de la clé : une requête d'API, un jeton ou un paramètre s'altère sans que rien ne le signale. Remplacer HMAC par un bricolage, comme hacher la clé suivie du message avec SHA-256, expose à l'extension de longueur, qui permet de prolonger le message et de produire une empreinte valide sans connaître la clé. Comparer enfin le code attendu octet par octet, en s'arrêtant au premier écart, laisse fuiter par le temps de réponse de quoi le deviner. La cryptographie maison ressemble à la cuisine maison : elle rend surtout malades les invités.
Explication de la marmotte
Imagine que tu envoies une lettre à un ami, mais tu veux être sûr que personne d'autre ne l’a modifiée en chemin. Pour cela, tu ajoutes un code secret, comme un mot de passe spécial, qui dépend à la fois du message et de ce mot secret. Quand ton ami reçoit la lettre, il utilise ce même mot secret pour vérifier que le message est bien celui que tu as envoyé, sans aucune modification. C’est un peu comme un sceau magique qui prouve que la lettre est authentique et n’a pas été trafiquée.
Où ce terme est utilisé
- Prouver qu’un message vient du bon secret (7 occurrences)
- Comment bloquer un webhook forgé sans signature vérifiée (6 occurrences)
- Anonymisation ou pseudonymisation en cas de fuite (5 occurrences)
- Comment sécuriser les webhooks entrants (5 occurrences)
- Condensés cryptographiques : propriétés, constructions et familles (4 occurrences)
- Pseudonymisation par LLM, fuite de contexte et réidentification (4 occurrences)
- Qualité des données et erreurs silencieuses (4 occurrences)
- Chiffrement au niveau champ dans une base de données (3 occurrences)
- Comment minimiser les données collectées (3 occurrences)
- Comprendre la cryptanalyse sans perdre le fil pratique (3 occurrences)