Найкращий підхід для генерації ключа API

Отже, зараз існує безліч різноманітних сервісів, API Google, Twitter API, Facebook API тощо.

Кожна служба має ключ API, наприклад:

AIzaSyClzfrOzB818x55FASHvX4JuGQciR9lv7q

Всі ключі різняться за довжиною та символами, які вони містять, мені цікаво, який найкращий підхід для створення ключа API?

Я не запитую конкретну мову, а лише загальний підхід до створення ключів, чи це шифрування деталей програми користувачів, чи хеш, чи хеш випадкового рядка тощо. Чи варто нам турбуватися про хеш-алгоритм (MSD, SHA1, bcrypt) тощо?

Редагувати: Я спілкувався з кількома друзями (електронною поштою / твіттером), і вони рекомендували просто використовувати GUID із позбавленими тире.

Мені це здається трохи хакі, сподіваючись отримати ще кілька ідей.

Використовуйте генератор випадкових чисел, призначений для криптографії. Потім base-64 закодує номер.

Це приклад на C #:

var key = new byte[32];
using (var generator = RandomNumberGenerator.Create())
    generator.GetBytes(key);
string apiKey = Convert.ToBase64String(key);

Ключі API повинні мати такі властивості:

• однозначно ідентифікувати авторизованого користувача API - "ключову" частину "API-ключа"
• автентифікувати цього користувача - неможливо вгадати / підробити
• може бути скасовано, якщо користувач неналежним чином поводиться - зазвичай вони вводять дані в базу даних, яка може мати видалений запис.

Зазвичай у вас буде тисячі або мільйони ключів API, а не мільярди, тому їм не потрібно:

• Надійно зберігайте інформацію про користувача API, оскільки вона може зберігатися у вашій базі даних.

Таким чином, один із способів створення ключа API - це взяти дві частини інформації:

1. серійний номер, що гарантує унікальність
2. достатньо випадкових біт, щоб вибити ключ

і підпишіть їх, використовуючи приватну таємницю.

Лічильник гарантує, що вони однозначно ідентифікують користувача, а підпис запобігає підробці. Для відкликання потрібно перевірити, чи ключ все ще дійсний у базі даних, перш ніж робити щось, що вимагає авторизації ключа API.

Хороший генератор GUID - це досить хороша апроксимація збільшеного лічильника, якщо вам потрібно створити ключі з декількох центрів обробки даних або у вас немає хорошого розподіленого способу присвоєння серійних номерів.

або хеш випадкового рядка

Хешування не запобігає підробці. Підпис - це те, що гарантує, що ключ вийшов від вас.

Я використовую UUID, відформатовані малими літерами без тире.

Покоління легко, оскільки більшість мов це вбудували.

Ключі API можуть бути скомпрометовані, і в цьому випадку користувач може захотіти скасувати свій ключ API і сформувати новий, тому ваш метод генерації ключів повинен відповідати цій вимозі.

Якщо вам потрібен ключ API лише з буквено-цифровими символами, ви можете використовувати варіант підходу base64-random , замість цього використовуючи лише кодування base-62. База-62 датчик заснований на цьому .

public static string CreateApiKey()
{
    var bytes = new byte[256 / 8];
    using (var random = RandomNumberGenerator.Create())
        random.GetBytes(bytes);
    return ToBase62String(bytes);
}

static string ToBase62String(byte[] toConvert)
{
    const string alphabet = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ";
    BigInteger dividend = new BigInteger(toConvert);
    var builder = new StringBuilder();
    while (dividend != 0) {
        dividend = BigInteger.DivRem(dividend, alphabet.Length, out BigInteger remainder);
        builder.Insert(0, alphabet[Math.Abs(((int)remainder))]);
    }
    return builder.ToString();
}

Ключ API повинен мати деяке випадкове значення. Досить випадково, що його неможливо передбачити. Він не повинен містити жодних даних про користувача чи обліковий запис, для якого він призначений. Використання UUID - це гарна ідея, якщо ви впевнені, що створені ідентифікатори є випадковими.

Наприклад, у більш ранніх версіях Windows були передбачувані GUID, але це стара історія.