Ataques de extensión de longitud y la necesidad de HMAC

Las funciones hash como SHA-1 y SHA-256 dividen el mensaje en bloques y van actualizando un vector de estado interno paso a paso. Cuando el cálculo termina, el resumen final resultante expone directamente ese estado interno. Si un desarrollador firma una cookie o una API con H(secreto || datos), un atacante que conozca los datos y el hash resultante puede calcular el estado interno del algoritmo y concatenar bytes adicionales a los datos originales, calculando el nuevo hash legítimo sin saber jamás cuál era el secreto original.

Para solucionar este defecto de raíz sin rediseñar las funciones hash existentes, Mihir Bellare y sus colaboradores diseñaron HMAC (RFC 2104). HMAC utiliza dos rondas anidadas con dos máscaras constantes derivadas de la clave: HMAC(K, m) = H((K xor opad) || H((K xor ipad) || m)). La primera pasada procesa la clave con la máscara interna (ipad) y el mensaje. La segunda pasada vuelve a procesar el resultado con la máscara externa (opad), blindando el estado interno frente a extensiones.

Las funciones criptográficas de nueva generación no utilizan la construcción tradicional de Merkle-Damgård: SHA-3 utiliza la construcción Sponge (Keccak) y BLAKE3 utiliza una estructura en árbol binario. Por esta razón, disponen de modos de autenticación nativos por clave (como KMAC o el modo keyed nativo de BLAKE3) que no necesitan la doble pasada de HMAC y alcanzan velocidades de procesamiento de varios gigabytes por segundo en hardware común.

Tener un HMAC criptográficamente perfecto no sirve de nada si se verifica en el código con un operador de igualdad ordinario (==). Los operadores comunes comparan los caracteres de izquierda a derecha y se detienen en el primer byte que no coincide (Short-circuit evaluation). Un atacante en red puede enviar millones de peticiones y medir nanosegundos: si la respuesta tarda un microsegundo más, sabe que acertó el primer byte. Por ello es obligatorio usar comparación en tiempo constante (como hash_equals en PHP o hmac.compare_digest en Python).