本文共 1392 字，大约阅读时间需要 4 分钟。
sha1 算法
安全哈希算法（Secure Hash Algorithm）主要适用于数字签名标准（Digital Signature Standard DSS）里面定义的数字签名算法（Digital Signature Algorithm DSA）。对于长度小于2^64位的消息，SHA1会产生一个160位（20B）的消息摘要。当接收到消息的时候，这个消息摘要可以用来验证数据的完整性。在传输的过程中，数据很可能会发生变化，那么这时候就会产生不同的消息摘要。
SHA1有如下特性：不可以从消息摘要中复原信息；两个不同的消息不会产生同样的消息摘要。
关于sha1算法的原理，可以参考：http://blog.chinaunix.net/uid-23261009-id-2465868.html
HMAC算法
HMAC 基于散列函数的消息认证码,是一种使用加密散列函数验证消息身份的机制，它需要一个加密用散列函数（表示为H，可以是MD5或者SHA-1）和一个密钥K用以计算消息认证码。加密强度取决于基础散列函数的属性。
基础hash函数 输出数据长度 HMAC-MD5 128(16B) HMAC-SHA1 160(20B)
HMAC算法原理
定义HMAC需要一个加密用散列函数（表示为H，可以是MD5或者SHA-1）和一个密钥K。我们用B来表示数据块的字节数。（以上所提到的散列函数的分割数据块字长B=64），用L来表示散列函数的输出数据字节数（MD5中L=16,SHA-1中L=20）。鉴别密钥的长度可以是小于等于数据块字长的任何正整数值。应用程序中使用的密钥长度若是比B大，则首先用使用散列函数H作用于它，然后用H输出的L长度字符串作为在HMAC中实际使用的密钥。一般情况下，推荐的最小密钥K长度是L个字节。 我们将定义两个固定且不同的字符串ipad,opad：（‘i','o'标志内部与外部） ipad = the byte 0x36 重复 B 次
opad = the byte 0x5C 重复 B 次.
计算‘text'的HMAC： HMAC ＝ H( K XOR opad, H(K XOR ipad, text))
HMAC运用
hmac主要应用在身份验证中，它的使用方法是这样的： 1. 客户端发出登录请求（假设是浏览器的GET请求） 2. 服务器返回一个随机值，并在会话中记录这个随机值 3. 客户端将该随机值作为密钥，用户密码进行hmac运算，然后提交给服务器 4. 服务器读取用户数据库中的用户密码和步骤2中发送的随机值做与客户端一样的hmac运算，然后与用户发送的结果比较，如果结果一致则验证用户合法 在这个过程中，可能遭到安全攻击的是服务器发送的随机值和用户发送的hmac结果，而对于截获了这两个值的黑客而言这两个值是没有意义的，绝无获取用户密码的可能性，随机值的引入使hmac只在当前会话中有效，大大增强了安全性和实用性。大多数的语言都实现了hmac算法，比如php的mhash、python的hmac.py、java的MessageDigest类，在web验证中使用hmac也是可行的，用js进行md5运算的速度也是比较快的。
参考：http://www.ftsafe.com.cn/service/kbase/infomation-2
转载地址：http://hrspi.baihongyu.com/