update url, fix hmac dep, use tarball