Por ejemplo: estoy usando HMAC SHA 256 para firmar un archivo XML. Parte de los datos del archivo es un número de versión. Si agrego la versión a mi secreto para usarla como clave, ¿eso debilita el HMAC? Como la versión también es parte del mensaje firmado, ¿es débil o aún es seguro?
Si te entiendo correctamente, estás utilizando una información conocida (es decir, visible para un atacante) como parte de tu clave. Si este es el caso, entonces usted está absolutamente en su HMAC, porque está reduciendo la cantidad de espacio de teclas desconocido que necesitan para forjar un mensaje.
Por ejemplo, si está usando una clave de 128 bits con su HMAC, pero un atacante siempre conoce 32 de esos bits, entonces solo necesitan atacar un espacio de claves de 96 bits.