コメントありがとうございます。
そしてすいません、完全に勘違いというか思い込みで書いてしまいました。

consumer keyをリクエストパラメータに含めてるので、サーバ側ではconsumer keyで
署名を復号するものとばかり思っていました。ご指摘を頂きまして、調べてみたところ(OpenPNEのソースを読みました)
実際はconsumer keyを元にsecretキーをルックアップして、サーバ側でも署名を作成して、送信された署名との比較を取っていました。ご指摘の通りHMAC-SHA1方式での認証は共通鍵暗号化方式ですね。

そもそもHMAC自体がそのような認証方式とは知らず、新しい暗号化アルゴリズムの１つと思い込んでおりました。

上記修正致しますので、しばらくお待ちくださいませ。

>2-legged OAuthはただの公開鍵認証
HMAC-SHA1 methodを使うときは共有秘密鍵を用いた共通鍵暗号方式な気がします。
http://oauth.net/core/1.0a#signing_process