# HMAC

Ein HMAC (hash-based message authentication code (Hash-basierter Nachrichtenauthentifizierungscode), manchmal erweitert als keyed-hash message authentication code (Schlüssel-Hash-Nachrichtenauthentifizierungscode)) ist ein Message Authentication Code (MAC), dessen Konstruktion auf einer kryptografischen Hash-Funktion, wie beispielsweise dem Secure Hash Algorithm (SHA), und einem geheimen Schlüssel basiert. HMACs werden in sowie im NIST Standard FIPS 198 spezifiziert und in für den Einsatz in IPsec erweitert. Zudem können sie beispielsweise in den Protokollen TLS und SSH eingesetzt werden.

## Konstruktion

Der HMAC wird aus der Nachricht $M$ und einem geheimen Schlüssel $K$ mittels der Hash-Funktion $\mathrm {H}$ nach RFC 2104 wie folgt berechnet. $K$ wird durch Anhängen von Null-Bytes (padding) auf die Blocklänge $B$ der Hash-Funktion aufgefüllt; das sind 64 Byte (512 Bit) für viele Hash-Funktionen, z. B. für SHA-256. Für SHA3-256 oder SHAKE256 ist $B=136$ (1088 Bit). Falls die Länge von $K$ größer als die Blocklänge der Hash-Funktion ist, wird $K$ durch $\mathrm {H} (K)$ ersetzt.
    $\mathrm {HMAC} _{K}(M)=\mathrm {H} {\Big(K\oplus opad)\;||\;\mathrm {H} {\big(K\oplus ipad)\;||\;M{\big )}{\Big )}$
Die Werte $opad$ (outer pad, ein String) und $ipad$ (inner pad, ein weiterer String) sind dabei Konstanten, $\oplus$ steht für die bitweise XOR-Operation und $\;||\;$ für die Verknüpfung durch einfaches Zusammensetzen (Konkatenation).
Nach RFC 2104 sind beide Konstanten outer pad und inner pad wie folgt definiert:
    $opad=\underbrace {\mathrm {0x5C} \dotso \mathrm {0x5C} } _{\text{B-mal}}{\text{ und }}ipad=\underbrace {\mathrm {0x36} \dotso \mathrm {0x36} } _{\text{B-mal}}$.

## Entwurfsprinzipien

Die auf den ersten Blick umständlich anmutende Konstruktion resultiert aus der Tatsache, dass die meisten älteren kryptographischen Hashfunktionen auf der Merkle-Damgård-Konstruktion beruhen, also auf der Iteration einer Kompressionsfunktion. So gibt es beispielsweise einen einfachen Angriff auf eine Konstruktion eines MACs als $H(K\|M)$. Aufgrund der Struktur der Hashfunktion kann leicht zu einem beliebigen $X$ und dem Hashwert $H(M)$ einer unbekannten Nachricht M der Hashwert $H(M\|X)$ berechnet werden, wenn die Finalisierungsfunktion fehlt oder leicht umkehrbar ist. Damit kann aber auch $H(K\|M)$ zu $H(K\|M\|X)$ erweitert werden („length-extension“-Angriff).
Wenn die zugrundeliegende Hashfunktion als kollisionsresistent angenommen wird, sind einfache MAC-Konstruktionen möglich, beispielsweise die Berechnung als $H(M\|K)$. Die Konstruktion ist allerdings unsicher, sobald eine Kollision gefunden ist, denn wenn $H(M_{1})=H(M_{2})$, dann ist aufgrund der Struktur unabhängig vom Schlüssel K auch $H(M_{1}\|K)=H(M_{2}\|K)$.
Die Idee der HMAC-Konstruktion ist, bei der Sicherheit nicht auf die Kollisionsresistenz der Hashfunktion, sondern auf schwächere Annahmen zu vertrauen. Aus diesem Grund ist ein auf MD5 basierender HMAC immer noch sicher, obwohl für MD5 bereits Kollisionen gefunden wurden.

## Sicherheit

Falls die zugrundeliegende Kompressionsfunktion eine pseudozufällige Funktion ist, so ist auch die HMAC-Konstruktion eine pseudozufällige Funktion. Da jede pseudozufällige Funktion auch ein guter MAC ist, ist die HMAC-Konstruktion ebenfalls ein guter MAC. Der einfachste Angriff auf einen HMAC ist es, den zugrunde liegenden geheimen Schlüssel $K$ beispielsweise mittels Brute-Force zu erraten.
RFC 6151 wurde 2011 veröffentlicht, um die Sicherheit von MD5 und HMAC-MD5 zu bewerten. Für letzteres fasst es zusammen, dass – obwohl MD5 als kompromittiert anzusehen ist – die aktuell bekannten Angriffe gegen HMAC-MD5 keine „praktische Sicherheitslücke“ darstellen, wenn dieses als „Message Authentication Code benutzt wird“. Dennoch fügt es hinzu, dass für neue Protokolldesigns „HMAC-MD5 nicht mehr benutzt werden sollte“.