security - REST 的 HMAC 身份验证

Question

我希望为我的 REST API 实现 HMAC 基于

http://www.smartjava.org/content/protect-rest-service-using-hmac-play-20

我仍然感到困惑的一件事是如何将 SECRET 带给客户。客户端将是iphone、android并从市场上下载

我在想的是使用用户输入的东西作为 SECRET 就像一个 pin，服务器将通过这个 pin

1) 客户端从服务器获取公钥
2) 用公钥加密pin
3)服务器在db中存储pin
4) 从那时起，PIN 用作 SECRET

这有什么坑吗？

Answer 1

这原则上没问题。但是，引脚通常只有 4 位数字。攻击者获取公钥并加密所有 9999 种组合并不困难。然后他可以将他的加密 key 与来自客户端的加密数据进行比较并找到 secret 。您可以通过用 50 个随机字符填充引脚来避免这个问题。服务器必须解密填充的数据并简单地丢弃最后 50 个字符。