HMAC (Hash Message Authentication Code) ist eine Art der Nachrichtenauthentifizierung, die aus zwei Teilen besteht: einer kryptografischen Hash-Funktion und einem Geheimnis, das zwischen zwei Parteien ausgetauscht wird.

Die kryptografische Qualität des Verfahrens hängt von der gewählten kryptografischen Hash-Funktion und der Qualität des gemeinsam genutzten Geheimnisses ab.
HMAC SHA1 verwendet zwei Durchgänge von Hash-Berechnungen. Zunächst wird der gemeinsame Schlüssel verwendet, um zwei Schlüssel (einen inneren und einen äußeren) abzuleiten. Im ersten Durchgang wird mit HMAC-SHA1 ein Hash auf der Grundlage des Schlüssels und der Nachricht erzeugt. Im zweiten Durchgang wird der endgültige HMAC auf der Grundlage des zuvor gefundenen Hashwerts und des zweiten abgeleiteten Schlüssels erstellt.

HMAC garantiert Datenintegrität und Authentizität. Da beide Parteien einen gemeinsamen privaten Schlüssel haben, wird eine Partei, wenn sie die Nachricht (mit dem Hash der anderen Partei) erhält, den Hash neu berechnen und überprüfen, ob er mit dem Hash übereinstimmt, den die andere Partei gesendet hat. Das bedeutet, dass die Nachricht tatsächlich von der anderen Partei gesendet wurde, da niemand sonst Zugriff auf den privaten Schlüssel hat.