Pythonでハッシュの比較の方法

Question

起きている問題

PythonでPHP関数のhash_equalsに当たるような関数をご存知の方はいますでしょうか？

やりたいこと

やりたいこととしましては、shopify webhookの以下のソースをPythonに訳あって書き直したいです。

<?php

define('SHOPIFY_APP_SECRET', 'my_shared_secret');

function verify_webhook($data, $hmac_header)
{
  $calculated_hmac = base64_encode(hash_hmac('sha256', $data, SHOPIFY_APP_SECRET, true));
  return hash_equals($hmac_header, $calculated_hmac);
}


$hmac_header = $_SERVER['HTTP_X_SHOPIFY_HMAC_SHA256'];
$data = file_get_contents('php://input');
$verified = verify_webhook($data, $hmac_header);
error_log('Webhook verified: '.var_export($verified, true)); //check error.log to see the result

?>

試したこと

Pythonで以下のように書いてみました。

import json
import base64
import hmac
import hashlib

SHARED_SECRET = 'my_shared'

def verify_webhook(data, hmac_header):
    calculated_hmac = base64.b64encode(hmac.new(SHARED_SECRET, data, hashlib.sha256).hexdigest())
    # ここで比較を行う必要がある
    

def lambda_handler(event, context):
    hmac_header = event['params']['header']['X-Shopify-Hmac-Sha256']
    verified = verify_webhook(data, hmac_header)

PHPでhash_equalsと書かれている部分をPythonでどう実装したらいいかわかりません。
ご教授お願いできますでしょうか

Answer 1

こちらがその用途の関数かと思います。

https://docs.python.org/ja/3/library/hmac.html#hmac.compare_digest

a == b を返します。この関数は、内容ベースの短絡的な振る舞いを避けることによってタイミング分析を防ぐよう設計されたアプローチを用い、暗号化に用いるのに相応しいものとしています。