Snippet

Zeitkonstante HMAC-Token-Verifizierung in benutzerdefinierten Auth-Backends

Benutzerdefinierte Django-Authentifizierungs-Backends sollten hmac.compare_digest verwenden, um Timing-Angriffe über Seitenkanäle bei der kryptografischen Signaturvalidierung zu verhindern.

snippet.py

python

import hmac
import hashlib
from django.contrib.auth.backends import BaseBackend
from django.contrib.auth.models import User
 
class ConstantTimeHMACBackend(BaseBackend):
    def authenticate(self, request, token=None, signature=None, secret_key=None):
        if not (token and signature and secret_key):
            return None
        expected_sig = hmac.new(
            secret_key.encode(), token.encode(), hashlib.sha256
        ).hexdigest()
        if hmac.compare_digest(expected_sig, signature):
            return User.objects.filter(username=token).first()
        return None

django

Erklärung

class ConstantTimeHMACBackend(BaseBackend):

Erstellt eine Unterklasse von Djangos BaseBackend zur Erstellung benutzerdefinierter Authentifizierungspipelines.

expected_sig = hmac.new(secret_key.encode(), token.encode(), hashlib.sha256).hexdigest()

Berechnet die SHA-256 HMAC-Signatur unter Verwendung des geheimen Schlüssels und des Token-Nutzdatensatzes.

if hmac.compare_digest(expected_sig, signature):

Führt einen zeitkonstanten Zeichenfolgenvergleich durch, um Timing-Seitenkanalangriffe zu neutralisieren.

Vorheriges Snippet Nächstes Snippet

Mehr Python-Übungen für Experten →

Zeitkonstante HMAC-Token-Verifizierung in benutzerdefinierten Auth-Backends

Verwandt