Wenn Sie Informationen von Currencycloud erhalten, ist es wichtig, dass Sie auf deren Vertraulichkeit und Integrität vertrauen können.
Dadurch können Sie sicher sein, dass sensible Informationen ausschließlich an die richtigen Personen gesendet werden. Außerdem haben Sie Gewissheit, dass alle Informationen, die Sie von Currencycloud erhalten, nicht manipuliert wurden.
Die Einführung der Nachrichtenüberprüfung für Push-Benachrichtigungen ist die neueste Maßnahme zur Verbesserung der Integrität.
Was ist eine Push-Benachrichtigung?
Die automatisierte Benachrichtigungsfunktion von Currencycloud bietet den Nutzern Transparenz in Echtzeit und sofortige Aktualisierungen zum Status von Transaktionen.
Unsere Push-Benachrichtigungen (Webhooks) halten die Nutzer über jeden Schritt auf dem Laufenden. Wenn sich der Status einer Transaktion ändert, kann eine Benachrichtigung an ein Endgerät oder eine E-Mail-Adresse nach Wahl des Kunden ausgelöst werden. Sowohl mit unserer APIs als auch über Currencycloud Direct bleiben Sie und Ihre Nutzer so auf effiziente Weise auf dem neuesten Stand.
Worum handelt es sich bei der Nachrichtenüberprüfung?
Mit der Nachrichtenüberprüfung können Sie prüfen, ob eine Nachricht von Currencycloud stammt und nicht manipuliert wurde. Wir fügen einen Hash-basierten Message Authentication Code (HMAC) an Benachrichtigungen an, mit dem Sie die Integrität der Nachricht bestätigen können.
Ich bin Entwickler – wie funktioniert es und was muss ich wissen?
Schritt 1: Generierung eines geheimen Schlüssels
Ein geheimer Schlüssel, den nur Sie generieren, wird sowohl vom Nachrichtenempfänger (Ihnen) als auch vom Absender der Nachricht (Currencycloud) gemeinsam genutzt. Sie können diesen zufällig generierten Schlüssel über Currencycloud Direct oder unseren API-Endpunkt erstellen oder aktualisieren.
Die Fähigkeit zur Generierung eines geheimen Schlüssels ist mit einer neuen Berechtigung verbunden. Sie können also entscheiden, welche Kontakte in Ihrem Konto dazu berechtigt sind.
Schritt 2: Vorbereitung der Push-Benachrichtigung
Mithilfe eines leistungsstarken Hashing-Algorithmus (SHA-512) generiert Currencycloud den HMAC aus dem geheimen, nur Ihnen bekannten Schlüssel und dem ursprünglichen Nachrichteninhalt. Dieser Code wird an jede Benachrichtigung angehängt, die Sie erhalten, und mit demselben geheimen Schlüssel und Hashing-Algorithmus können Sie den HMAC berechnen. Unten sehen Sie ein Beispiel:
Schritt 3: Nachrichtenüberprüfung
Bei Erhalt der Nachricht berechnen Sie den HMAC mithilfe des geheimen Schlüssels, des Nachrichteninhalts und desselben Hashing-Algorithmus (SHA-512).
Wenn der berechnete HMAC mit dem im Nachrichtenkopf übereinstimmt, haben Sie die Echtheit der Nachricht kryptografisch nachgewiesen.
Hinweis: Es ist wichtig, dass Sie den Inhalt der Nachricht genau so an den Prüfsummenprüfer senden, wie er empfangen wurde. Stellen Sie beispielsweise sicher, dass keine zusätzlichen Zeichen (z. B. Leerstellen oder neue Zeilen) hinzugefügt wurden.
Wie generiere ich einen sicheren Schlüssel?
Auf unserer Direct-Plattform können Sie über Ihre „Profilseite“ einen Schlüssel generieren. Alternativ können Sie die Generate HMAC Key API aufrufen (/v2/contacts/generate_hmac_key). Sie können nur dann einen geheimen Schlüssel generieren, wenn der Kontakt, als der Sie angemeldet sind, über die richtige Berechtigung verfügt. Wenden Sie sich daher an Ihren Kundenberater, um dies zu aktivieren. Sie können so oft wie nötig einen neuen geheimen Schlüssel generieren.
Wo finde ich den HMAC in der Push-Benachrichtigung?
Der HMAC wird vor der Zustellung an den Nachrichtenkopf angehängt. Sie müssen den HMAC nicht berechnen, um den Nachrichteninhalt zu lesen. Sie benötigen ihn lediglich zum Überprüfen seiner Integrität.
Wie verifiziere ich den HMAC?
Um die Integrität einer Push-Benachrichtigung zu überprüfen, müssen Sie den Hash der Nachricht mit dem vollständigen Inhalt der Benachrichtigung und Ihrem geheimen Schlüssel berechnen. Zum Beispiel:
$ echo -n ‘<notification_content>’| openssl dgst -sha512 -hmac "Mein geheimer Schlüssel" (stdin)= 8b472cf04424acd33c3e6e3e74a821929fda2511d034dcd992d3ef3009f9834bfd042d2215de1583c4d57b90a7299e3e9f765e1ec5de003b73d7666d8a284027
Das Ergebnis muss mit dem HMAC übereinstimmen, den Sie im Nachrichtenkopf erhalten haben.