security - 使用 sha256 的登录 token

Question

我需要创建一个登录 token ，可以在查询字符串中将其从站点 1 传递到站点 2。我不需要传输用户名或 ID，我只需要在站点 2 上知道用户在站点 1 上具有有效的登录权限。

我目前创建这样的 token

timestamp|sha256(timestamp+secret)

在站点 2 上，我创建了给定时间戳+ secret 的 sha256，并将其与给定哈希进行匹配。我还检查时间戳，并且不验证它是否早于 5 分钟。

这是一种相当安全的方法吗？

破解 sha256 并获取 secret 会很容易吗？

Answer 1

您可以使用HMAC在已经拥有共享 key 的两方之间提供经过身份验证的消息。您所描述的与 HMAC 非常相似，因为它是一种消息身份验证代码。尽管我实际上会使用 HMAC 函数来执行此操作。

要破解 hmac，您必须使用身份验证代码(消息的散列部分)来暴力破解 secret 。攻击者知道时间戳，因此他们可以不断猜测 secret 。只要让 secret 变得非常大并且非常随机，就像/dev/random 的一些输出是一个不错的选择。