1

necesito ayuda con este problema. Quiero crear una firma con los algoritmos HMAC y sha256. En PHP es:

$cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0'; $clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe'; rawurlencode(hash_hmac('sha256', $cadena, $clave, false));

Este código genera la firma:

3ceb8ed91049dfc718b0d2d176fb2ed0e5fd74f76c5971f34cdab48412476041

El hecho es que debo hacerlo con Javascript puro y ahí encuentro que, con los mismos valores de cadena y clave, la firma generada es distinta:

let firma = CryptoJS.HmacSHA256(cadena, clave); let base64 = firma.toString(CryptoJS.enc.hex);

Para ello usé la librería:

<script src="https://cdnjs.cloudflare.com/ajax/libs/crypto-js/4.0.0/hmac-sha256.min.js"></script>

Firma: af2943cd9b2bc960b02a4f4a992fedd2ffe849ac5e9e82bb1bd822d4d75f55be

He leído mucha documentación desde la documentación oficial del sitio web que me solicita la firma, también he visto que en Node js hay librerías mucho más documentadas, pero debo hacerlo con Javascript, por favor cualquier sugerencia es bienvenida. Gracias de antemano.

1 respuesta 1

2

PROBLEMA

Al parecer el problema está en la implementación que tienes de tu cadena en PHP, y lo que tratas de replicar en Javascript.

Tienes la siguiente cadena de entrada:

'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0'

La cual a simple vista es una URI codificada, es decir, ciertos caracteres han sido codificados para ser reemplazados por secuencias UTF-8.

Luego en PHP tienes lo siguiente:

rawurlencode(hash_hmac('sha256', $cadena, $clave, false));

Analicemos un momento esta línea.

Realizas el proceso de hash de tu cadena, pasando el digest, el secreto y le dices que la salida sean dígitos hexadecimales en minúsculas.

Luego, a esa salida le aplicas la función rawurldecode, cosa a la cual no le encuentro sentido.

El resultado obtenido es:

'3ceb8ed91049dfc718b0d2d176fb2ed0e5fd74f76c5971f34cdab48412476041'

Si no aplicamos la función rawurldecode el código queda:

hash_hmac('sha256', $cadena, $clave, false);

Si mostramos la salida de dicho comando, el resultado es:

'3ceb8ed91049dfc718b0d2d176fb2ed0e5fd74f76c5971f34cdab48412476041'

Sorpresa, la función rawurldecode no afecta para nada el resultado del hash cuando la aplicas sobre el mismo hash, pero veamos que pasa si la aplicamos sobre la cadena original (que viene codificada) y luego calculamos el hash:

$clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe';
$cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0';
$decoded = rawurldecode($cadena);
hash_hmac('sha256', $decoded, $clave, false);

El resultado del código anterior es:

'af2943cd9b2bc960b02a4f4a992fedd2ffe849ac5e9e82bb1bd822d4d75f55be'

Interesante, coincide con el valor de hash que calculas con Javascript. Si mostramos la cadena decodificada (echo $decoded) esto es lo que tenemos:

'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0'

SOLUCIÓN

Según yo lo veo tienes 2 opciones:

  1. Usar la cadena sin codificar y calcular el hash con Javascript
  2. Calcular el hash sobre la cadena codificada.

Esto producirá 2 resultados diferentes, ya que la cadena decodificada no es igual a la cadena codificada en este caso.

En tu pregunta dices que necesitas el hash que ya obtienes con PHP. Aunque tu metodología no es la correcta (ya vimos porqué).

Intuyo, por el resultado que dices obtener en Javascript, que la cadena que pasas para calcular el hash no viene codificada. Para nosotros los programadores puede tener el mismo significado una cadena codificada que una decodificada, pero para un proceso de hash son cadenas totalmente diferentes.

La solución es escoger sobre qué tipo de cadena vas a realizar el hash.

Supongamos que deseo realizar el hash sobre una cadena no codificada (o decodificada).

En PHP lo tenemos así:

$clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe';
$cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0';
$decoded = rawurldecode($cadena);
$hash = hash_hmac('sha256', $decoded, $clave, false);
echo $hash;

El resultado:

'af2943cd9b2bc960b02a4f4a992fedd2ffe849ac5e9e82bb1bd822d4d75f55be'

En Javascript, no hace falta decodificar la cadena. (Asumo que la misma la pasas sin codificar):

const clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe';
let cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0';
let firma = CryptoJS.HmacSHA256(cadena, clave);
let base64 = firma.toString(CryptoJS.enc.hex);
document.getElementById('output').innerHTML = `<small>${base64}</small>`;
<link rel="stylesheet" href="https://stackpath.bootstrapcdn.com/bootstrap/4.5.0/css/bootstrap.min.css" integrity="sha384-9aIt2nRpC12Uk9gS9baDl411NQApFmC26EwAOH8WgZl5MYYxFfc+NcPb1dKGj7Sk" crossorigin="anonymous">
<script src="https://cdnjs.cloudflare.com/ajax/libs/crypto-js/4.0.0/crypto-js.min.js" integrity="sha256-6rXZCnFzbyZ685/fMsqoxxZz/QZwMnmwHg+SsNe+C/w=" crossorigin="anonymous"></script>
<div class="container-fluid text-center" id="output"><div>

Claramente ambos resultados son coincidentes, ya que estamos aplicando la misma función hash con los mismos parámetros, sobre la misma cadena.

Ahora, imaginemos que deseamos calcular el hash sobre una cadena codificada.

En PHP basta con no usar el método rawurldecode, pero en Javascript debemos codificar la cadena si la misma no la tenemos o no la recibimos codificada.

En Javascript tenemos el método encodeURI y el método encodeURIComponent().

Veamos ambos en acción sobre la cadena no codificada:

let resultadoDeseado = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0';

let cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0';

//usando encodeURI
let encoded1 = encodeURI(cadena);
console.log(encoded1);
console.log(`¿Es encoded1 === resultadoDeseado? ${encoded1 === resultadoDeseado}`);

//usando encodeURIComponent
let encoded2 = encodeURIComponent(cadena);
console.log(encoded2);
console.log(`¿Es encoded2 === resultadoDeseado? ${encoded2 === resultadoDeseado}`);

//resultado deseado
console.log(resultadoDeseado);

Ninguno de los dos métodos dio el resultado esperado, y es que el primero no hizo nada, y el segundo puso secuencias de escape donde no las había antes.

Para solucionar esto, vamos a aplicar secuencias de escape a los valores que lo requieren. En este caso tenemos una cadena del tipo key=value, por lo tanto debemos aplicar la codificación sobre cada elemento de tipo value en la cadena.

Una forma sería la siguiente:

let resultadoDeseado = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0';

let cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0';

let array = cadena.split('&');

let encodedArray = array.map(element => {
  let key = element.split('=')[0];
  let value = encodeURIComponent(element.split('=')[1]);
  return key.concat('=').concat(value);
});

let encoded = encodedArray.join('&');

console.log(encoded);
console.log(resultadoDeseado);
console.log(`¿Es encoded === resultadoDeseado? ${encoded === resultadoDeseado}`);

Con esto ya podemos aplicar de forma segura el método hash a la cadena que hemos codificado usando encodeURIComponent aplicado sobre cada elemento de tipo value en la cadena.

El resultado sería:

let cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0';

let array = cadena.split('&');
let encodedArray = array.map(element => {
  let key = element.split('=')[0];
  let value = encodeURIComponent(element.split('=')[1]);
  return key.concat('=').concat(value);
});

let encoded = encodedArray.join('&');

const clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe';
let firma = CryptoJS.HmacSHA256(encoded, clave);
let base64 = firma.toString(CryptoJS.enc.hex);
document.getElementById('output').innerHTML = `<small>${base64}</small>`;
<link rel="stylesheet" href="https://stackpath.bootstrapcdn.com/bootstrap/4.5.0/css/bootstrap.min.css" integrity="sha384-9aIt2nRpC12Uk9gS9baDl411NQApFmC26EwAOH8WgZl5MYYxFfc+NcPb1dKGj7Sk" crossorigin="anonymous">
<script src="https://cdnjs.cloudflare.com/ajax/libs/crypto-js/4.0.0/crypto-js.min.js" integrity="sha256-6rXZCnFzbyZ685/fMsqoxxZz/QZwMnmwHg+SsNe+C/w=" crossorigin="anonymous"></script>
<div class="container-fluid text-center" id="output"><div>

De esta forma el resultado obtenido es el mismo que en PHP cuando no se usa rawurldecode sobre la cadena a le que le aplicamos el hash. Es decir cuando tanto en PHP como en Javascript las cadenas están codificadas.

Espero que esto te ayude a resolver el problema y aclare tus dudas.

1
  • Genial, gracias Mauricio por tomarte el tiempo de ayudarme Commented el 2 jun. 2020 a las 23:20

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.