hMAC 认证中的时间戳

Question

作为 RESTful Web API 服务器，我们为客户端提供客户端 ID 和密码。我认为客户端使用 clientid + hMAC(clientid hashed by password) 进行身份验证就足够了。

我查看了一些建议使用时间戳甚至更多信息作为基本字符串的文档。我只是无法理解那是什么意思。

任何大师都可以帮助解释一下时间戳究竟有助于防止攻击或其他任何事情吗？

Answer 1

问题在于，如果没有时间戳，任何已签名的消息都将永远有效。如果攻击者设法捕获了一条消息，他们可以无限地重放它，即使不会泄露您用于签署该消息的秘密。

如果您添加时间戳，则消息将在短时间内过期并防止这种情况发生。您将选择在服务器应用程序中遵守时间戳的时间。当您确实记得考虑“未来”时间时，因为客户的点击可能稍早于您，并且会出现在您的应用程序中。