HMAC 생성기

해시(SHA-256 등)는 단방향 함수로 누구나 계산할 수 있습니다. HMAC는 해시 함수에 '비밀 키'를 더한 것입니다. 비밀 키를 가진 사람만이 올바른 HMAC를 생성하거나 검증할 수 있으므로 인증에 적합합니다.

단순히 키와 메시지를 연결하는 것(`H(Key + Message)`)은 MD5나 SHA-1과 같은 특정 해시 함수에서 '길이 확장 공격(Length Extension Attack)'에 취약합니다. HMAC의 중첩 구조는 이러한 공격을 방지하기 위해 특별히 설계되었습니다.

아니요. HMAC는 암호화 해시 함수이지 암호화 알고리즘이 아닙니다. 단방향입니다. 출력에서 원본 메시지나 키를 복원할 수 없습니다. 데이터를 숨기는 것이 아니라 진위성을 확인하는 데 사용됩니다.

RFC 2104는 최소한 해시 출력 길이(예: SHA-256의 경우 32바이트)와 동일한 키 길이를 권장합니다. 블록 크기보다 긴 키는 해시되므로 보안을 크게 증가시키지 않습니다.

단순 해시보다는 낫지만 비밀번호에는 PBKDF2, bcrypt, Argon2와 같은 전문 키 유도 함수(KDF)를 사용해야 합니다. PBKDF2는 내부적으로 HMAC를 사용하지만 무차별 대입 공격을 늦추기 위해 반복을 추가합니다.

네. 이 도구는 완전히 클라이언트 측에서 실행됩니다. HMAC 계산은 브라우저에서 JavaScript(Web Crypto API 또는 CryptoJS)를 사용하여 직접 수행됩니다. 키와 메시지는 서버로 전송되지 않습니다.