Получение ключей HKDF

HKDF (функция получения ключей Extract-and-Expand на основе HMAC) определена в RFC 5869. Она обеспечивает надёжный метод получения криптографических ключей из входного ключевого материала с использованием двухэтапного процесса: Извлечение и Расширение.

HKDF широко используется в современных протоколах безопасности, включая TLS 1.3, Signal Protocol, Noise Protocol Framework и SSH. Чёткое разделение фаз извлечения и расширения делает его особенно подходящим для получения иерархий ключей.

Фаза извлечения: HKDF-Extract(salt, IKM) → PRK

Фаза извлечения концентрирует потенциально рассеянную энтропию из входного ключевого материала (IKM) в псевдослучайный ключ (PRK) фиксированной длины:

• Принимает соль (необязательно, по умолчанию HashLen нулей) и IKM как входные данные
• Вычисляет PRK = HMAC-Hash(salt, IKM)
• Длина PRK равна длине вывода хеша (32 байта для SHA-256)
• Соль действует как ключ для HMAC, усиливая извлечение

Фаза расширения: HKDF-Expand(PRK, info, L) → OKM

Фаза расширения растягивает PRK в выходной ключевой материал (OKM) нужной длины:

• Принимает PRK, info (контекст/метка) и желаемую длину вывода L
• Итеративно вычисляет T(i) = HMAC-Hash(PRK, T(i-1) | info | счётчик)
• Объединяет результаты: OKM = T(1) | T(2) | ... | T(N)
• Максимальная длина вывода составляет 255 × HashLen байт

Типичные случаи использования

• Расписание ключей TLS 1.3: получение traffic secrets, ключей handshake и ключей приложения
• Signal Protocol: получение chain keys и message keys из общих секретов
• Обмен ключами SSH: получение ключей шифрования и целостности после ECDH
• Иерархия ключей: получение нескольких ключей специального назначения из master secret

HKDF vs PBKDF2

Соображения безопасности

• HKDF предполагает, что IKM уже содержит достаточную энтропию; не использовать со слабыми паролями
• Параметр info должен однозначно идентифицировать предполагаемое использование ключа (разделение контекста)
• Соль необязательна, но рекомендуется при извлечении нескольких ключей из одного IKM
• PRK никогда не должен использоваться напрямую; всегда используйте фазу расширения для получения финальных ключей

Технические ссылки

• RFC 5869 - HMAC-based Extract-and-Expand Key Derivation Function (HKDF)
• RFC 8446 - TLS 1.3 Key Schedule (Uses HKDF)
• Signal Double Ratchet Algorithm (Uses HKDF)
• MDN Web Crypto API - deriveBits (HKDF)