(Java) HmacUtils, Mac이 thread-safe하지 않다?

일반적으로 Hash, HMAC 만들 때는 아래 Util 클래스 사용한다.

org.apache.commons.codec.digest.DigestUtils
org.apache.commons.codec.digest.HmacUtils

그러나 HmacUtils은 thread-safe 하지 않다.

• 정확히는, HmacUtils는 thread-safe 하지만 그 안에서 사용되는 Mac이 thread-safe 하지 않다.
  • https://commons.apache.org/proper/commons-codec/apidocs/org/apache/commons/codec/digest/HmacUtils.html
  • https://stackoverflow.com/questions/31898802/is-macdofinal-thread-safe-in-java
• 그래서 동시에 호출되는 경우 hmac 결과값이 잘못 반환 될 수 있다. (한 쪽의 결과값이 잘못되거나, 양 쪽 모두 결과값이 잘못 되거나.)
• 그럼 어떻게 써야 하나?
  • https://waseemh.github.io/thread-safe-mac-calculation이런 식으로 clone해서 사용해도 되지만,
  • 그냥 매번 HmacUtils을 생성(내부에서 Mac을 생성)해서 사용해도 생성 비용이 비싸지 않다. (1ms 미만으로 성능을 신경 쓸 만큼 차이가 나지 않는다.)

송신자 or 메시지 생성자 인증 2가지 방법
대칭키 : HMAC
비대칭키 : 서명