HMAC 키 기반 해시 메시지 인증 코드

HMAC은 비밀키와 해시 함수를 조합해 메시지의 변경 여부와 키를 가진 주체에 의한 생성을 확인하는 메시지 인증 코드 방식입니다.

송신자와 검증자가 공유한 비밀키로 인증 값을 계산합니다. 키를 모르는 사람이 유효한 값을 만들기 어렵게 하는 것이 목적이며 본문을 숨기는 암호화와는 다릅니다.

내부 API 요청의 본문과 지정된 필드에 HMAC을 계산해 수신자가 위변조 여부를 확인하도록 할 수 있습니다.

일반 해시는 비밀키가 없고 HMAC은 비밀키를 사용합니다. 디지털 서명은 공개키로 검증할 수 있지만 HMAC은 공유 키를 아는 검증자도 값을 만들 수 있다는 차이가 있습니다.

재전송 방지는 HMAC만으로 자동 제공되지 않습니다. 서명할 필드의 정확한 직렬화, 시간이나 nonce의 검증과 키 회수를 함께 설계해야 합니다.