HMACを使用したWeb API認証

Question

質問内容

Secure ASP.NET Web API using API Key Authentication – HMAC Authentication

上記の記事を見てHMACを使用したAPI認証というものを知りました。
これに関して2つの質問があります。

質問1

まずはこの認証方法についてそもそもの理解ができているかの確認したく、
記事のサンプルとは異なりますが自分の理解を兼ねて仕組みを以下に記載します。
※元記事に記載があるナンスやタイムスタンプは省いています

以下の内容に誤りなどありましたらご指摘いただけますでしょうか。

サンプル

 API                      Client
  |                          |
 ユーザ識別IDと秘密鍵を共有  
  |------------------------- |
  |                          |
  |                          |
  |                          | 以下のデータから署名を作成
  |                          |  - リクエストURL
  |                          |  - リクエストBODY
  |                          |  - 秘密鍵
  |                          |
  | リクエストにユーザ識別ID,署名を含めて送信
  | ここでは仮にHTTP Headerに入れるとする,クエリストリングでも何でもいい
  | X-Access-Id: ...         |
  | X-Signature: ...         |
  |<-------------------------|
  |                          |

1. API側とClientはユーザの識別を行うためのユーザ識別IDと、HMACの秘密鍵を共有する。
2. Client側はAPIへのリクエストURLとリクエストBodyの2つの文字列を連結し、1で共有された秘密鍵を使用してHMACで署名を作成してBase64でエンコードする
3. Clientは1で共有したユーザ識別IDとBase64でエンコードされた署名をリクエストに同封して送信する
4. APIはリクエストのユーザ識別IDから対応する秘密鍵を探し、その鍵とリクエストのURLとBodyから署名を作成、送信されてきた署名と比較を行い等しければ認証成功とする

質問2

自分でコードを書いてみましたので、セキュリティの観点からレビューをいただきたいです。
Ruby on Railsで使用することを想定しています。

class HmacAuthentificator
  # アクセスIDヘッダ ユーザの識別を行う
  X_ACCESS_ID_HEADER = 'X-Access-Id'

  # 署名ヘッダ リクエストの正当性検証を担う
  X_SIGNATURE_HEADER = 'X-Signature'

  # タイムスタンプヘッダ replay attacks攻撃防止用
  X_TIMESTAMP_HEADER = 'X-Timestamp'

  # 署名作成のハッシュ関数
  DIGEST_METHOD = 'sha256'

  # タイムスタンプの期限切れ時間(秒)
  TIMESTAMP_EXPIRATION = 10.0

  # @param [ActionDispatch::Request] request
  def initialize(request)
    @request = request
  end

  # リクエストの正当性検証
  # @return [Boolean]
  def valid?
    #
    # タイムスタンプ
    #
    timestamp = @request.headers[X_TIMESTAMP_HEADER]
    return false unless timestamp
    parsed_timestamp = ::Time.zone.parse(timestamp)
    return false unless parsed_timestamp
    # タイムスタンプの有効期限検証,制限時間を超えているものと未来のものは拒否する
    now = ::Time.zone.now
    return false if now - parsed_timestamp > TIMESTAMP_EXPIRATION || parsed_timestamp > now

    # 
    # アクセスID
    #
    access_id = @request.headers[X_ACCESS_ID_HEADER]
    return false unless access_id

    #
    # 秘密鍵
    #
    secret_token = find_secret_token(access_id)
    return false unless secret_token

    #
    # 署名
    #
    requested_signature = @request.headers[X_SIGNATURE_HEADER]
    return false unless requested_signature

    #
    # 署名の再作成と検証
    #
    regenerated_signature = create_signature(secret_token, @request.original_url, @request.raw_post, timestamp)
    # MITIGATE TIMING ATTACK
    return false unless ::ActiveSupport::SecurityUtils.variable_size_secure_compare(regenerated_signature, requested_signature)
    return false unless ::ActiveSupport::SecurityUtils.secure_compare(regenerated_signature, requested_signature)

    return true
  end

  # @return [String|nil]
  def find_secret_token(access_id)
    # secret_tokenはDBに保存しておく
  end

  # リクエストから署名を作成
  #
  # @param [String] token 鍵文字列
  # @param [String] url リクエストURL
  # @param [String|nil] body リクエストボディ
  # @param [String] timestamp - タイムスタンプ(ISO 8601)
  # @return [String]
  def create_signature(token, url, body, timestamp)
    body = '' if body.nil?
    content = [url, body, timestamp].map(&:strip).join
    ::Base64.strict_encode64(::OpenSSL::HMAC.digest(DIGEST_METHOD, token, content))
  end
end

# Railsコントローラ
class ExampleController < ApiBaseController
  before_action :authentificate_api!

  def index
    render plain: 'ok'
  end

  def authentificate_api!
    authentificator = HmacAuthentificator.new(request)
    return true if @authentificator.valid?

    fail(AuthentificationError, msg)
  end
end