Uzunluk uzatma saldırısı
Saldırgan, imzalı bir mesaja anahtarı bilmeden veri ekleyip geçerli bir imza hesaplayabilir.
MD5, SHA-1 ve SHA-256 gibi Merkle–Damgård özet işlevleri, iç durumlarının tamamını özet olarak verir. Bir mesajı hash(anahtar || mesaj) biçiminde imzalarsanız, özeti gören herkes hesaplamayı o durumdan sürdürebilir ve mesaj, dolgu ve eklenen veriden oluşan bütün için geçerli bir özet üretebilir. Flickr’ın API’si 2009’da tam olarak bundan etkilendi. HMAC, anahtarı iki ayrı geçişte özetleyerek bu uzatmayı mümkün kılan yapıyı bozar. Özet işlevi ne kadar iyi olursa olsun, MAC değildir.