Re: usage de cancel-clock

Le 10/09/2022 à 08:38, Marc SCHAEFER a écrit :

L'algo de vérification est universel.  hash(secret, message-id), c'est
cela que je veux dire. Mais tous les serveurs ne supportent pas CL/CK.

Re-faux.
HASH n'accepte pas de secret (c'est HMAC qui l'accepte), et le secret n'est absolument pas utilisé pour la vérification.
Pour vérifier un CL on hashe simplement le CK.
donc : CL = Base64(hash(Base64(K)))
Le secret est utilisé pour la génération du CL. On commence par générer le CK (avec le secret qu'on cannait) :
K = HMAC(sec, uid+mid)
Puis on le hashe pour obtenir le CL :
CL = Base64(hash(Base64(K)))
C'est ce CL qui est ajouté à l'article.
Lorsqu'un serveur veut vérifier la paire CL/CK il hashe simplement le CK pour voir s'il tombe sur le CL.
Franck