HMACは頻繁に間違って実装されていますか？

Question

私が遭遇したいくつかのRESTサービスでは、APIキーや何らかの種類の共有秘密情報をダウンロードし、単にヘッダーでこれを渡す必要がありました。

Google検索でこのデザインパターンを説明しようとすると、私が得意とするのは「HMAC」です。これは洗練されているようです。 HMACは、共有秘密情報をサーバーに直接送信しないように設計されており、秘密鍵を他のデータとハッシングすることが必要です。

私は何を見ていますか？それの名前はありますか？

Answer 1

HMACでない方法でAPIキーを使用しても問題ありません。これはしばしば「APIキー認証」または同様の名前と呼ばれます。 APIキー認証は、単純に、すべてのリクエストとともに、通常はヘッダーとして渡されるパスワードです。

これはHTTPSとペアになっている場合にのみ安全です。そのため、トラフィックを見ているユーザーは単にAPIキーを読み取ることができません。