encryption - 为 HMAC-SHA1 生成使用者 key / secret

Question

我正在寻找一种编程方式来为 HMAC-SHA1 生成消费者 key / secret ，以供通过 OAuth 调用我们的 API 的客户端使用。任何指向现有实现的指针都会非常有帮助。

Answer 1

从随机数据生成的 secret 是最好的。这样就没有外部数据可以帮助攻击者推断或猜测部分或整个 key 。当然，这取决于您的 key 需要多少保护。 Java 在 java.util.Random 中包含一些随机数生成器(从 JDK1.0 开始)。如果您没有向后兼容性问题，Java 6 具有满足 FIPS 140-2 要求的 java.security.SecureRandom。 Java 库并不是真正随机的，但对于大多数应用程序来说可能已经足够了。如果您需要更好的随机数据，您应该选择基于硬件的随机生成器。