Estoy haciendo un HMAC de algún algoritmo de cifrado de texto cifrado, IV. En este momento estoy usando una clave codificada que tanto el remitente como el receptor conocen. Me preguntaba si la clave debería cambiarse de vez en cuando. Si lo hace, ¿cómo sincronizaría las teclas con el receptor? ¿Es una idea muy mala enviar la clave HMAC en texto sin formato?
No es necesario cambiar la clave HMAC a menos que crea que se ha comprometido (o por algún otro motivo, desea que los mensajes autenticados bajo la clave anterior ya no se consideren válidos). Suponiendo que use una función hash razonable, firmar "demasiados" mensajes con la misma clave no compromete la clave.
Toda la seguridad de HMAC proviene de que la clave de HMAC se mantiene en secreto, por lo que enviarla en texto sin formato casi seguramente anulará todo el propósito de usar HMAC en lugar de solo un hash público sin clave. Si necesita poder cambiar las claves, es posible que desee confiar en la criptografía asimétrica (clave pública), aunque no ha dicho lo suficiente sobre su aplicación para que sea posible una recomendación más específica.
Lea otras preguntas en las etiquetas encryption hmac