Application Real-Time Monitoring Service:API キーを使用して共有可能な Grafana ダッシュボードリンクを生成する

Base64 は、8 ビット バイトコード を送信するために Web で使用される一般的なエンコード方式です。64 個の印字可能な文字を使用して バイナリ データを表す手法です。

• base64 などの一般的なオンラインツールを復号化に使用します。

• Java で API キーを復号化します。

  package main
  
  import java.util.Base64;
  
  public class Base64Example{
      public static void main(String[] args) {
          String apiKey = "eyJr****REpzZGYzd2JIa0N3ekgyWjlWWmhrSTM5bWdGT2hGSmwiLCJuIjoidGVzdDEiLCJpZCI6MX0=";
          String decodeKey = new String(Base64.getDecoder().decode(apiKey));
          System.out.println(decodeKey);
      }
  }

  出力：

  {"k":"DJsd****HkCwzH2Z9VZhkI39mgFOhFJl","n":"test1","id":1}

• Go で API キーを復号化します。

  package main
  
  import "fmt"
  import "encoding/base64"
  
  func main() {
  	apiKey := "eyJr****REpzZGYzd2JIa0N3ekgyWjlWWmhrSTM5bWdGT2hGSmwiLCJuIjoidGVzdDEiLCJpZCI6MX0="
  	decodeKey, err := base64.StdEncoding.DecodeString(apiKey)
  	if err != nil {
  		fmt.Println(err.Error())
  		return
  	}
  	fmt.Println(string(decodeKey))
  }

  出力：

  {"k":"DJsd****HkCwzH2Z9VZhkI39mgFOhFJl","n":"test1","id":1}

Password-Based Key Derivation Function 2（PBKDF2）は、ユーザーが提供したパスワードと、ソルトや反復回数などの追加パラメータから暗号化キーを安全に派生するために使用されるパスワードベースのキー派生関数です。主にユーザーパスワードを保存する必要があるシナリオで使用され、データベースが侵害された場合でも、攻撃者がユーザーのプレーンテキストパスワードを直接取得したり、派生キーを簡単にクラックしたりすることを困難にすることを目的としています。

複数の暗号化方式が利用可能です。次の表に暗号化パラメータを示します。

• df2 などの一般的なオンラインツールを暗号化に使用します。

• Java でキーを派生します。

  package main
  
  import javax.crypto.SecretKeyFactory;
  import java.security.GeneralSecurityException;
  import javax.crypto.spec.PBEKeySpec;
  import java.security.spec.KeySpec;
  
  public class PBKDFExapmle {
      public static void main(String[] args) {
          String password = "DJsd****HkCwzH2Z9VZhkI39mgFOhFJl";
          String salt = "test1";
          int iterationCount = 10000;
          int outputLength = 50 * 8;
  
          try {
              KeySpec spec = new PBEKeySpec(password.toCharArray(), salt.getBytes(), iterationCount, outputLength);
              SecretKeyFactory skf = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA256");
              byte[] keyBytes = skf.generateSecret(spec).getEncoded();
              System.out.println(bytesToHex(keyBytes));
          } catch (GeneralSecurityException e) {
              e.printStackTrace();
          }
      }
  
      private static String bytesToHex(byte[] bytes) {
          StringBuilder hexString = new StringBuilder();
          for (byte b : bytes) {
              String hex = Integer.toHexString(0xff & b);
              if (hex.length() == 1) {
                  hexString.append('0');
              }
              hexString.append(hex);
          }
          return hexString.toString();
      }
  }
  

  出力：PBKDF2 パスワード

  1e5b****80184e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882****

• Go でキーを派生します。

  package main
  
  import "fmt"
  import "encoding/hex"
  import "crypto/sha256"
  import "golang.org/x/crypto/pbkdf2"
  
  func main() {
      password:="DJsd****HkCwzH2Z9VZhkI39mgFOhFJl"
      salt="test1"
      newPasswd := pbkdf2.Key([]byte(password), []byte(salt), 10000, 50, sha256.New)
  	encodePassword:= hex.EncodeToString(newPasswd)
  	fmt.Println(encodePassword)
  }

  出力：PBKDF2 パスワード

  1e5b****80184e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882****

MD5 メッセージダイジェストアルゴリズム は、広く使用されている 暗号学的ハッシュ関数 で、128 ビット（16 バイト）の ハッシュ値 を生成します。これは、送信される情報 の整合性と一貫性を確保するために設計されています。

暗号化されるコンテンツは、<PBKDF2 パスワード> + "_" + <現在のシステム時刻（秒単位の整数）> で構成されます。

例：

PBKDF2 パスワードが 1e5b****80184e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882**** の場合

現在のシステム時刻が 2024-09-20 17:12:13 の場合、エポックからの正確な時刻（秒単位）は 1726823533 になります。

したがって、MD5 署名を生成するための完全な情報は、1e5b****80184 e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882****_1726823533 になります。

MD5 署名を生成する方法：

• MD5 などの一般的なオンラインツールを暗号化に使用します。

• Java で MD5 ハッシュを実装します。

  package main;
  
  import java.security.MessageDigest;
  
  
  public class MD5 {
  
      public static void main(String[] args) {
          String pbkdfPassword = "1e5b****80184e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882****";
          long timeSeconds=System.currentTimeMillis()/1000;
          String key=pbkdfPassword+"_"+timeSeconds;
          System.out.println(MD5.getMD5String(key,"UTF-8"));
      }
  
      
      public static String getMD5String(String str, String charset) {
          try {
              MessageDigest messageDigest = MessageDigest.getInstance("MD5");
              messageDigest.reset();
              messageDigest.update(str.getBytes(charset));
              byte[] byteArray = messageDigest.digest();
  
              StringBuffer md5StrBuff = new StringBuffer();
  
              for (int i = 0; i < byteArray.length; i++) {
                  if (Integer.toHexString(0xFF & byteArray[i]).length() == 1) {
                      md5StrBuff.append("0").append(
                          Integer.toHexString(0xFF & byteArray[i]));
                  } else {
                      md5StrBuff.append(Integer.toHexString(0xFF & byteArray[i]));
                  }
              }
              return md5StrBuff.toString().toLowerCase();
          } catch (Exception e) {
              e.printStackTrace();
              throw new RuntimeException("MD5 error:"+e.getMessage());
          }
      }
  }
  

• Go で MD5 ハッシュを実装します。

  package main
   
  import (
      "crypto/md5"
      "encoding/hex"
      "fmt"
      "io"
      "time"
      "strconv"
  )
   
  func main() {
      // MD5 でハッシュする必要がある文字列。
      pbkdfPassword := "1e5b****80184e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882****"
      timeSeconds:= time.Now().Unix()
      key:=pbkdfPassword+"_"+strconv.FormatInt(timeSeconds, 10)
   
      // md5 パッケージを使用して文字列の MD5 ハッシュを計算します。
      hash := md5.New()
      io.WriteString(hash, key)
      md5Str := hash.Sum(nil)
   
      // バイナリ MD5 値を 16 進数文字列に変換します。
      md5StrHex := hex.EncodeToString(md5Str)
   
      fmt.Println("MD5 of", key, "is", md5StrHex)
  }

次の表にパラメータを示します。

例：

https://grafana-example.grafana.aliyuncs.com/d/TZWea****/test?orgId=1&from=167081684****&to=167083844****&aliyun_api_key_sign=c3bf89b867cc88df72d507edc4d1****&aliyun_api_key_timestamp=1726823533&aliyun_api_key_name=test1&aliyun_api_key_org_id=1

このようにして、プログラムコードに基づいてより安全なパスワードなしのログインリンクを Grafana に毎回動的に生成し、API キーの漏洩を回避できます。

Password-Based Key Derivation Function 2（PBKDF2）は、ユーザーが提供したパスワードと、ソルトや反復回数などの追加パラメータから暗号化キーを安全に派生するために使用されるパスワードベースのキー派生関数です。主にユーザーパスワードを保存する必要があるシナリオで使用され、データベースが侵害された場合でも、攻撃者がユーザーのプレーンテキストパスワードを直接取得したり、派生キーを簡単にクラックしたりすることを困難にすることを目的としています。

サービスアカウントトークンをアンダースコア（_）で分割します。

# 次のサービスアカウントトークンを例として使用します。
トークン：glsa_yV9HAOVCjNKkvKoLMiypOc5T0Oov****_4f5ff3ce
# 分割後、次のようになります。
プレフィックス：glsa
シークレット：yV9HAOVCjNKkvKoLMiypOc5T0Oov****
ソルト：4f5ff3ce

複数の暗号化方式が利用可能です。次の表に暗号化パラメータを示します。

• charsetpbkdf2 などの一般的なオンラインツールを復号化に使用します。

• Java で API キーを復号化します。

  package main
  
  import javax.crypto.SecretKeyFactory;
  import java.security.GeneralSecurityException;
  import javax.crypto.spec.PBEKeySpec;
  import java.security.spec.KeySpec;
  
  public class PBKDFExapmle {
      public static void main(String[] args) {
          String password = "yV9H****jNKkvKoLMiypOc5T0OovHXPV";
          String salt = "4f5ff3ce";
          int iterationCount = 10000;
          int outputLength = 50 * 8;
  
          try {
              KeySpec spec = new PBEKeySpec(password.toCharArray(), salt.getBytes(), iterationCount, outputLength);
              SecretKeyFactory skf = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA256");
              byte[] keyBytes = skf.generateSecret(spec).getEncoded();
              System.out.println(bytesToHex(keyBytes));
          } catch (GeneralSecurityException e) {
              e.printStackTrace();
          }
      }
  
      private static String bytesToHex(byte[] bytes) {
          StringBuilder hexString = new StringBuilder();
          for (byte b : bytes) {
              String hex = Integer.toHexString(0xff & b);
              if (hex.length() == 1) {
                  hexString.append('0');
              }
              hexString.append(hex);
          }
          return hexString.toString();
      }
  }
  

  出力：PBKDF2 パスワード

  c3cd****971bab928e4ecd6e7a00c74657696ea07d38c43f3bb5dc3190f2285cb80695cf7bf2f25c9b1f34fe1e0f9549****

• Go でキーを派生します。

  package main
  
  import "fmt"
  import "encoding/hex"
  import "crypto/sha256"
  import "golang.org/x/crypto/pbkdf2"
  
  func main() {
      password:="yV9H****jNKkvKoLMiypOc5T0OovHXPV"
      salt="4f5ff3ce"
      newPasswd := pbkdf2.Key([]byte(password), []byte(salt), 10000, 50, sha256.New)
  	encodePassword:= hex.EncodeToString(newPasswd)
  	fmt.Println(encodePassword)
  }

  出力：PBKDF2 パスワード

  c3cd****971bab928e4ecd6e7a00c74657696ea07d38c43f3bb5dc3190f2285cb80695cf7bf2f25c9b1f34fe1e0f9549****

MD5 メッセージダイジェストアルゴリズム は、広く使用されている 暗号学的ハッシュ関数 で、128 ビット（16 バイト）の ハッシュ値 を生成します。これは、送信される情報 の整合性と一貫性を確保するために設計されています。

暗号化されるコンテンツは、<PBKDF2 パスワード> + "_" + <現在のシステム時刻（秒単位の整数）> で構成されます。

例：

PBKDF2 パスワードが 1e5b****80184e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882**** の場合

現在のシステム時刻が 2024-09-20 17:12:13 の場合、エポックからの正確な時刻（秒単位）は 1726823533 になります。

したがって、MD5 署名を生成するための完全な情報は、1e5b****80184 e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882****_1726823533 になります。

MD5 署名を生成する方法：

• MD5 などの一般的なオンラインツールを暗号化に使用します。

• Java で MD5 ハッシュを実装します。

  package main;
  
  import java.security.MessageDigest;
  
  
  public class MD5 {
  
      public static void main(String[] args) {
          String pbkdfPassword = "1e5b****80184e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882****";
          long timeSeconds=System.currentTimeMillis()/1000;
          String key=pbkdfPassword+"_"+timeSeconds;
          System.out.println(MD5.getMD5String(key,"UTF-8"));
      }
  
      
      public static String getMD5String(String str, String charset) {
          try {
              MessageDigest messageDigest = MessageDigest.getInstance("MD5");
              messageDigest.reset();
              messageDigest.update(str.getBytes(charset));
              byte[] byteArray = messageDigest.digest();
  
              StringBuffer md5StrBuff = new StringBuffer();
  
              for (int i = 0; i < byteArray.length; i++) {
                  if (Integer.toHexString(0xFF & byteArray[i]).length() == 1) {
                      md5StrBuff.append("0").append(
                          Integer.toHexString(0xFF & byteArray[i]));
                  } else {
                      md5StrBuff.append(Integer.toHexString(0xFF & byteArray[i]));
                  }
              }
              return md5StrBuff.toString().toLowerCase();
          } catch (Exception e) {
              e.printStackTrace();
              throw new RuntimeException("MD5 error:"+e.getMessage());
          }
      }
  }
  

• Go で MD5 ハッシュを実装します。

  package main
   
  import (
      "crypto/md5"
      "encoding/hex"
      "fmt"
      "io"
      "time"
      "strconv"
  )
   
  func main() {
      // MD5 でハッシュする必要がある文字列。
      pbkdfPassword := "1e5b****80184e78832544aae4d2e031a3539c10b575b75d7c1d44af49fcf5a7de9c58a5f0035ce35fff0e5b0476e882****"
      timeSeconds:= time.Now().Unix()
      key:=pbkdfPassword+"_"+strconv.FormatInt(timeSeconds, 10)
   
      // md5 パッケージを使用して文字列の MD5 ハッシュを計算します。
      hash := md5.New()
      io.WriteString(hash, key)
      md5Str := hash.Sum(nil)
   
      // バイナリ MD5 値を 16 進数文字列に変換します。
      md5StrHex := hex.EncodeToString(md5Str)
   
      fmt.Println("MD5 of", key, "is", md5StrHex)
  }

次の表にパラメータを示します。

例：

https://grafana-example.grafana.aliyuncs.com/d/TZWea****/test?orgId=1&from=167081684****&to=167083844****&aliyun_api_key_sign=c3bf89b867cc88df72d507edc4d1****&aliyun_api_key_timestamp=1726823533&aliyun_api_key_name=test1&aliyun_api_key_org_id=1

このようにして、プログラムコードに基づいてより安全なパスワードなしのログインリンクを Grafana に毎回動的に生成し、サービスアカウントトークンの漏洩を回避できます。