HMACとは？

HMACの意味

ハッシュ関数と共通鍵を組み合わせてメッセージ認証符号を作る、標準化された方式。SHA-256などと組み合わせてHMAC-SHA256のように呼ぶ。TLSの通信保護やクラウドサービスのAPI呼び出しの正当性確認に広く使われている。

HMACの具体例

勤怠クラウドと自社システムを連携させるとき、サービス側から発行された秘密の鍵を使い、送信内容から計算した値をリクエストに付ける。クラウド側が同じ計算をして一致を確認するため、鍵を知らない第三者は正しい要求を作れない。

HMACは試験でどう引っ掛けられる？

「ハッシュ値をそのまま付ければ同じこと」ではない。鍵の無い単純なハッシュは誰でも計算できるので、内容と一緒に付け替えられる。鍵が計算に混ざっている点がHMACの本質で、鍵の管理が破られれば効果を失う。

HMACと関連する用語

• メッセージ認証符号（MAC）
• ハッシュ関数
• 鍵管理

HMACが出た過去問

• メッセージが改ざんされていないかどうかを確認するために，そのメッセージから，ブロック暗号を用いて生成することができるものはどれか。

  正解：メッセージ認証符号

  要点：MACは共有鍵で作る改ざん検知用の認証符号

  メッセージ認証符号（MAC）は、メッセージと共有鍵から生成する固定長の値で、受信側が同じ鍵で計算し直して比較することで改ざんの有無と送信者の正当性を確認できる。ブロック暗号を用いたCMACや、ハッシュ関数を用いたHMACなどの生成方式がある。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問24（IPA）

• メッセージが改ざんされていないかどうかを確認するために、そのメッセージから、ブロック暗号を用いて生成することができるものはどれか。

  正解：メッセージ認証符号

  要点：MACはブロック暗号でも生成でき改ざんを検知する

  メッセージ認証符号(MAC)は、メッセージと秘密鍵から生成する固定長の値で、受信側が同じ鍵で計算し直して一致を確かめることで改ざんの有無を検証できる。生成にはハッシュ関数を使うHMACのほか、ブロック暗号を使うCMACやCBC-MACがあり、本問はブロック暗号から生成できるものを問うている。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問23（IPA）

• メッセージが改ざんされていないかどうかを確認するために、そのメッセージから、ブロック暗号を用いて生成することができるものはどれか。

  正解：メッセージ認証符号

  要点：MACは共有鍵で作る改ざん検知用の検証値

  メッセージ認証符号（MAC）は、送受信者が共有する鍵とメッセージから生成する短い検証値で、改ざんの有無と送信者の正当性を確認できる。生成方式にはハッシュ関数を使うHMACのほか、ブロック暗号を用いるCMACなどがあり、本問はこの後者を指している。鍵を知らない第三者は正しい値を作れないため、単なる誤り検出符号より強い保証が得られる。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問23（IPA）