hMAC認証のタイムスタンプ

Question

安心なWeb APIサーバーとして、私たちはクライアントにクライアントIDとパスワードを提供します。私は、クライアントが認証のためにclientid + hMAC（clientidをパスワードでハッシュ）を使用すれば十分だと思います。

私は、タイムスタンプまたは基本文字列のさらに詳しい情報を使用するように助言するいくつかの文書を調べました。私はその意味を理解できません。

タイムスタンプが攻撃や他の何かを防止するのに役立つのかを教えてくれる人がいますか？

Answer 1

タイムスタンプなしでは、署名されたメッセージはすべて永久に有効です。攻撃者がメッセージをキャプチャした場合、メッセージに署名するために使用された秘密を犠牲にすることなく無限に再生することができます。

タイムスタンプを追加すると、メッセージが短時間で期限切れとなり、これを防ぐことができます。サーバーアプリケーションでタイムスタンプを使用する期間を選択します。クライアントのクリックがあなたより少し先にあり、将来あなたのアプリケーションに表示される可能性があるため、「将来」の時間を考慮する必要があるとき。