Qual è l'approccio migliore per generare una nuova chiave API?

Quindi con molti servizi diversi in giro ora, API di Google, API di Twitter, API di Facebook, ecc.

Ogni servizio ha una chiave API, come:

AIzaSyClzfrOzB818x55FASHvX4JuGQciR9lv7q

Tutte le chiavi variano in lunghezza e i caratteri che contengono, mi chiedo quale sia l'approccio migliore per generare una chiave API?

Non sto chiedendo una lingua specifica, solo l'approccio generale alla creazione di chiavi, dovrebbe essere una crittografia dei dettagli dell'app degli utenti, o un hash, o un hash di una stringa casuale, ecc. Dovremmo preoccuparci dell'algoritmo hash (MSD, SHA1, bcrypt) ecc.?

Modifica: ho parlato con alcuni amici (e-mail / twitter) e mi hanno consigliato di utilizzare solo un GUID con i trattini rimossi.

Questo però mi sembra un po 'complicato, sperando di avere qualche idea in più.

Utilizza un generatore di numeri casuali progettato per la crittografia. Quindi la base 64 codifica il numero.

Questo è un esempio in C #:

var key = new byte[32];
using (var generator = RandomNumberGenerator.Create())
    generator.GetBytes(key);
string apiKey = Convert.ToBase64String(key);

Le chiavi API devono avere le proprietà che:

• identificare in modo univoco un utente API autorizzato - la parte "chiave" della "chiave API"
• autenticare l'utente - non può essere indovinato / falsificato
• può essere revocato se un utente si comporta male, in genere inserisce un database che può avere un record eliminato.

In genere avrai migliaia o milioni di chiavi API, non miliardi, quindi non è necessario:

• Archivia in modo affidabile le informazioni sull'utente API perché possono essere archiviate nel tuo database.

Pertanto, un modo per generare una chiave API è prendere due informazioni:

1. un numero di serie a garanzia dell'unicità
2. abbastanza bit casuali per riempire la chiave

e firmarli utilizzando un segreto privato.

Il contatore garantisce l'identificazione univoca dell'utente e la firma impedisce la falsificazione. La revocabilità richiede il controllo che la chiave sia ancora valida nel database prima di eseguire qualsiasi operazione che richieda l'autorizzazione della chiave API.

Un buon generatore di GUID è un'approssimazione abbastanza buona di un contatore incrementato se è necessario generare chiavi da più data center o se non si dispone di un buon modo distribuito per assegnare numeri di serie.

o un hash di una stringa casuale

L'hashing non impedisce la contraffazione. La firma è ciò che garantisce che la chiave provenga da te.

Uso gli UUID, formattati in minuscolo senza trattini.

La generazione è facile poiché la maggior parte delle lingue è incorporata.

Le chiavi API possono essere compromesse, nel qual caso un utente potrebbe voler annullare la propria chiave API e generarne una nuova, quindi il metodo di generazione della chiave deve essere in grado di soddisfare questo requisito.

Se desideri una chiave API con solo caratteri alfanumerici, puoi utilizzare una variante di base64-random , utilizzando invece solo una codifica base 62. L'encoder base 62 si basa su questo .

public static string CreateApiKey()
{
    var bytes = new byte[256 / 8];
    using (var random = RandomNumberGenerator.Create())
        random.GetBytes(bytes);
    return ToBase62String(bytes);
}

static string ToBase62String(byte[] toConvert)
{
    const string alphabet = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ";
    BigInteger dividend = new BigInteger(toConvert);
    var builder = new StringBuilder();
    while (dividend != 0) {
        dividend = BigInteger.DivRem(dividend, alphabet.Length, out BigInteger remainder);
        builder.Insert(0, alphabet[Math.Abs(((int)remainder))]);
    }
    return builder.ToString();
}

Una chiave API dovrebbe essere un valore casuale. Abbastanza casuale da non poter essere previsto. Non deve contenere alcun dettaglio dell'utente o dell'account a cui appartiene. Usare gli UUID è una buona idea, se sei certo che gli ID creati siano casuali.

Le versioni precedenti di Windows producevano GUID prevedibili, ad esempio, ma questa è una vecchia storia.