Il materiale di autenticazione derivato da HMAC è un dato crittografico creato durante un handshake di autenticazione a partire da un segreto condiviso o da una password e da una challenge specifica del protocollo. Non è la password stessa, ma può essere abbastanza correlato da consentire a un attaccante di testare offline ipotesi di password se il materiale viene intercettato.
Nella sicurezza informatica, questo è importante perché un sistema può divulgare dati di accesso utili prima che un account venga effettivamente compromesso. Gli attaccanti possono registrare l'handshake, quindi confrontare password candidate con il valore basato su HMAC catturato senza contattare ripetutamente il servizio. I difensori riducono questo rischio limitando l'esposizione delle interfacce di gestione, imponendo password forti e uniche, usando protocolli di autenticazione moderni e isolando l'accesso amministrativo in modo che i dati dell'handshake non possano essere raccolti dalle reti pubbliche.