HMAC imzaları və sorğu şifrələmə: məlumatların bütövlüyünün və orijinallığının qorunması

Son redaktə:

Aleksey Davıdov

—

May 4, 2025

API inteqrasiyası yalnız giriş nəzarəti deyil, həm də hər bir sorğunun orijinallığına və bütövlüyünə zəmanət tələb edir. Bunun üçün biz HMAC imzalarını (Hash-based Message Authentication Code) dəstəkləyirik, həmçinin açıq şəbəkələr vasitəsilə ötürüldükdə belə məlumatların qorunmasını təmin etməklə bədən və sorğu parametrlərinin şifrələnməsini dəstəkləyirik.

HMAC-ın köməyi ilə hər bir tərəf (müştəri və server) sorğunun səlahiyyətli tərəf tərəfindən yaradıldığını, yolda dəyişdirilmədiyini və şifrəli məzmuna malik olduğunu təsdiqləyir.

Nə həyata keçirildi

Mexanizm	Təyinat və üstünlüklər
HMAC imzaları	Gizli açardan istifadə edərək hər bir sorğunun imzası
Bütövlüyə nəzarət	Köçürmə zamanı məzmunun dəyişdirilmədiyini yoxlayın
Sorğu bədən şifrələmə	Məxfi məlumatları qorumaq üçün AES və ya RSA istifadə
Timestamp ilə imza	Təkrar və gecikmiş hücumlardan qorunma (replay attack)
Sorğu parametrlərinin imzası	Hash funksiyası vasitəsilə query string və payload validasiya

Bu necə işləyir

1. Müştəri sorğu bədənini formalaşdırır və timestamp əlavə edir

2. HMAC (məsələn, SHA256) tərəfindən məxfi və məzmun əsasında hesablanır

3. Başlığa imza əlavə olunur (məsələn, 'X-Signature')

4. Server imzanı, vaxt tuşunu və icazə verilən IP-ni yoxlayır

5. Əgər imza üst-üstə düşürsə - sorğu yerinə yetirilir, əks halda rədd edilir

API inteqrasiyası üçün üstünlüklər

Saxtakarlığa və ya təhrifə qarşı qorunma

TLS olmadan təhlükəsiz qarşılıqlı əlaqə imkanı (qapalı şəbəkələrdə)
Məlumat kanalına etimadın artırılması
Xüsusi platforma və ya dildən müstəqillik
Müxtəlif növ müştərilər üçün çevik həyata: kassalar, şlüzlər, provayderlər

Harada xüsusilə vacibdir

Ödəniş, kassa və ya fiskal sistemlərlə inteqrasiya

Multiarend və ya tərəfdaş mühitdə işləyən API
Sorğuların yoxlanılması üçün artan tələblərə malik sistemlər
Daimi avtorizasiyasız daxili xidmətlər arasında qarşılıqlı əlaqə

HMAC imzası və şifrələmə saxta və müdaxilə üçün API kilididir. Belə mexanizmlər yüksək təhlükəsizlik tələbləri şəraitində belə etibarlı inteqrasiya qurmağa imkan verir.