我正在研究计算机的安全性，尤其是 URL 欺骗。我了解 URL 欺骗的一种形式是网络钓鱼。然后我读到针对网络钓鱼的对策是身份验证密钥。但是 hocapito autenticcation 关键是什么不好。
在我读到的笔记上：
密钥包含与用户相关的种子、计时器、秘密对称密钥和计数器。相反，服务器上有一个计时器，相同的对称密钥是种子相关实用程序的列表，也是每个用户的计数器。
当用户单击密钥上的按钮时，它会生成一个HMAC(Seed||K||Timer||Counter)，以相同的方式在服务器上生成：如果匹配，则授予访问权限。
显然，定时器不会完美同步，然后服务器会生成一些带有一些定时器值的代码HMAC（取决于用户和服务器定时器之间的差距），并会在这些之间寻找匹配。
用户的每次点击都由计数器记录，因此两者是同步的计数器（在服务器和密钥之间）。这会导致无法再使用旧代码（计数器不匹配）。
如果对手特别注意并进行会话劫持，即您刚刚在网络钓鱼站点上输入的数据会立即重新发送到银行的实际站点，则该密钥不起作用。
这就像一个人在中间，对手在银行和用户之间用它的“假”页面做中介。也正是因为这个原因，在执行某些意义之前经常要求另一个密码。
auth-key 是一个密钥（由种子、计时器、计数器和秘密对称密钥组成），它只拥有客户端？种子是什么意思？和计数器有什么关系？什么是 HMAC？如果密钥是秘密的，它怎么能匹配？
我了解的很少。有人会知道用简单的方式解释吗？或者是否有网站更全面、更容易地处理这个主题？
我阅读了维基百科页面，但没有找到更多。