如何在 Bash 中验证 HTTP HMAC 签名？

Question

我需要验证我使用的程序的 HTTP HMAC 签名（Drone CI，尝试创建扩展），但我没有尝试让结果匹配。

具体来说，HTTP 请求如下所示：

POST / HTTP/1.1
Host: 127.0.0.1
User-Agent: Go-http-client/1.1
Content-Length: 50
Accept: application/vnd.drone.validate.v1+json
Accept-Encoding: identity
Content-Type: application/json
Date: Wed, 09 Jun 2021 01:25:07 GMT
Digest: SHA-256=digest
Signature: keyId="hmac-key",algorithm="hmac-sha256",signature="signature",headers="accept accept-encoding content-type date digest"

{"data":"data"}

我尝试过使用sha256sum、hmac256 和openssl，交换Digest 和signature 的值，但它们都没有匹配。

---

更新：

我已经尝试了以下代码，但它似乎仍然无法正常工作：

MESSAGE='{"data":"data"}'
SECRET="secret" # This isn't any value in the request, is it?

echo -n "${MESSAGE}" | openssl dgst -sha256 -hmac "${SECRET}" | base64 -w 0

---

更新 2：

HMAC examples on Wikipedia 对我来说工作得很好。我可能会从 HTTP 请求中搞砸什么？

如果值得的话，请求签名显然是基于draft-cavage-http-signatures-10。

---

更新 3：

我尝试使用以下格式创建签名，但仍然没有骰子：

{"data":"data"}
accept: application/vnd.drone.validate.v1+json
accept-encoding: identity
content-type: application/json
date: Wed, 09 Jun 2021 01:25:07 GMT
digest: SHA-256=digest

假设上面的文本存储在变量${hmac_data}下，下面是用来尝试（但失败）达到signature的值：

echo -n "${hmac_data}" | openssl dgst -sha256 -hmac "${key}" | awk '{print $2}' | base64 -w 0

更新 4：

经过一大堆杂乱无章的事情，Kiskae's answer 让我找到了解决方案。

除了他说的，我发现 Drone base64 编码的是 binary 版本的字符串，而不是 ASCII 的。

因此，上述命令的新版本（与 Drone CI 一起使用时）如下：

${MESSAGE} 等于：

accept: application/vnd.drone.validate.v1+json
accept-encoding: identity
content-type: application/json
date: Wed, 09 Jun 2021 01:25:07 GMT
digest: SHA-256=digest

还有命令：

echo -n "${MESSAGE}" | openssl dgst -sha256 -hmac "${SECRET}" -binary | base64 -w 0

Answer 1

他们似乎正在使用http signatures draft 的实现。

链接的文档解释了需要计算签名的方式以及如何验证它。但这可能是您的示例不起作用的原因：

2.1.3。标题

可选。 headers参数用于指定列表 为消息生成签名时包含的 HTTP 标头。

基本上签名不只包含消息，可能是为了防止重放攻击。由于您只是散列消息，因此它按预期工作。