Yeni bir API anahtarı oluşturmak için en iyi yaklaşım nedir?

Yani şu anda birçok farklı hizmetle, Google API'leri, Twitter API'leri, Facebook API'leri vb.

Her hizmetin aşağıdakiler gibi bir API anahtarı vardır:

AIzaSyClzfrOzB818x55FASHvX4JuGQciR9lv7q

Tüm anahtarların uzunlukları ve içerdikleri karakterler değişir, bir API anahtarı oluşturmak için en iyi yaklaşımın ne olduğunu merak ediyorum.

Kullanıcı uygulamasının ayrıntılarının şifrelenmesi mi, yoksa bir karma mı, yoksa rastgele bir dizenin karması mı, vb. Olsun, belirli bir dil istemiyorum, yalnızca anahtar oluşturmaya yönelik genel yaklaşım. Karma algoritma hakkında endişelenmeli miyiz? (MSD, SHA1, bcrypt) vb.

Düzenleme: Birkaç arkadaşımla konuştum (e-posta / twitter) ve sadece kısa çizgilerle bir GUID kullanılmasını önerdiler.

Biraz daha fikir edinmeyi umduğum için bu bana biraz karışık geliyor.

Kriptografi için tasarlanmış rastgele bir sayı üreteci kullanın. Sonra base-64 sayıyı kodlar.

Bu bir C # örneğidir:

var key = new byte[32];
using (var generator = RandomNumberGenerator.Create())
    generator.GetBytes(key);
string apiKey = Convert.ToBase64String(key);

API anahtarlarının şu özelliklere sahip olması gerekir:

• Yetkili bir API kullanıcısını benzersiz şekilde tanımlama - "API anahtarı" nın "anahtar" kısmı
• o kullanıcının kimliğini doğrulayın - tahmin edilemez / sahte olamaz
• Bir kullanıcı hatalı davranırsa iptal edilebilir - tipik olarak bir kaydı silebilecek bir veritabanına girerler.

Tipik olarak milyarlarca değil, binlerce veya milyonlarca API anahtarına sahip olursunuz, bu nedenle aşağıdakileri yapmaları gerekmez:

• API kullanıcısı hakkındaki bilgileri güvenilir bir şekilde depolayın çünkü bunlar veritabanınızda saklanabilir.

Bu nedenle, bir API anahtarı oluşturmanın bir yolu, iki parça bilgi almaktır:

1. benzersizliği garanti eden bir seri numarası
2. anahtarı doldurmak için yeterince rastgele bit

ve özel bir sır kullanarak imzalayın.

Sayaç, kullanıcıyı benzersiz bir şekilde tanımlamalarını garanti eder ve imzalama sahteciliği önler. İptal edilebilirlik, API anahtarı yetkilendirmesi gerektiren herhangi bir şey yapmadan önce anahtarın veritabanında hala geçerli olup olmadığını kontrol etmeyi gerektirir.

İyi bir GUID üreteci, birden çok veri merkezinden anahtarlar oluşturmanız gerekiyorsa veya seri numaralarını atamak için iyi bir dağıtılmış yolunuz yoksa, artırılmış bir sayacın oldukça iyi bir yaklaşımıdır.

veya rastgele bir dizenin karması

Hashing sahteciliği engellemez. İmzalamak , anahtarın sizden geldiğini garanti eden şeydir.

Tire olmadan küçük harflerle biçimlendirilmiş UUID'leri kullanıyorum.

Oluşturmak kolaydır, çünkü çoğu dilde yerleşik olarak bulunur.

API anahtarlarının güvenliği ihlal edilebilir, bu durumda bir kullanıcı API anahtarını iptal etmek ve yeni bir tane oluşturmak isteyebilir, bu nedenle anahtar oluşturma yönteminizin bu gereksinimi karşılayabilmesi gerekir.

Yalnızca alfasayısal karakterler içeren bir API anahtarı istiyorsanız, base64-random'un bir varyantını kullanabilirsiniz. bunun yerine yalnızca base-62 kodlaması kullanarak yaklaşımının . Baz-62 kodlayıcı dayanmaktadır bu .

public static string CreateApiKey()
{
    var bytes = new byte[256 / 8];
    using (var random = RandomNumberGenerator.Create())
        random.GetBytes(bytes);
    return ToBase62String(bytes);
}

static string ToBase62String(byte[] toConvert)
{
    const string alphabet = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ";
    BigInteger dividend = new BigInteger(toConvert);
    var builder = new StringBuilder();
    while (dividend != 0) {
        dividend = BigInteger.DivRem(dividend, alphabet.Length, out BigInteger remainder);
        builder.Insert(0, alphabet[Math.Abs(((int)remainder))]);
    }
    return builder.ToString();
}

Bir API anahtarı rastgele bir değer olmalıdır. Tahmin edilemeyecek kadar rastgele. Kullanıcının veya ait olduğu hesabın herhangi bir detayını içermemelidir. Oluşturulan kimliklerin rastgele olduğundan eminseniz UUID'leri kullanmak iyi bir fikirdir.

Örneğin Windows'un önceki sürümleri öngörülebilir GUID'ler üretti, ancak bu eski bir hikaye.