SM2椭圆曲线公钥密码算法中的密钥派生函数（KDF）详解

SM2算法是中国国家密码管理局发布的椭圆曲线公钥密码标准，其密钥派生函数（KDF）用于从共享密钥中派生出实际使用的会话密钥。下面我将详细讲解K2D的完整流程。

一、KDF的作用与基本原理

1. 核心功能：将双方通过密钥交换得到的共享密钥（通常是一个椭圆曲线点）转换为指定长度的对称密钥
2. 输入参数：
   • 共享密钥Z（长度klen位）
   • 所需密钥长度len（位）
3. 输出：长度为len的派生密钥
4. 核心机制：基于SM3哈希函数的迭代扩展

二、KDF详细执行步骤

步骤1：输入准备

• 将共享密钥Z转换为字节序列
• 确定需要生成的密钥长度len（以位为单位）
• 设置计数器ct=0x00000001（32位初始值）

步骤2：迭代计算过程
对每个迭代轮次i（从1到⌈len/256⌉）：

1. 计算哈希输入：

   • 输入数据 = Z || ct（共享密钥拼接计数器值）
   • 注意：ct为32位大端序整数

2. SM3哈希计算：

   • 对输入数据执行SM3哈希，得到256位（32字节）输出Ha_i
   • SM3计算过程包括填充、消息扩展、压缩函数等步骤

3. 更新计数器：

   • ct = ct + 1
   • 确保计数器始终为32位无符号整数

步骤3：输出组合

1. 拼接所有哈希输出：

   • K = Ha_1 || Ha_2 || ... || Ha_⌈len/256⌉

2. 截取指定长度：

   • 取K的前len位作为最终派生密钥
   • 如果len不是8的倍数，需要正确处理位边界

三、关键设计要点

1. 计数器机制：确保每轮哈希输入不同，避免输出冲突
2. 长度适配：通过迭代生成足够长度的密钥材料
3. 安全性：基于SM3的抗碰撞性和单向性

四、实例演示
假设：

• 共享密钥Z = 0x0123456789ABCDEF（8字节）
• 需要派生len=384位的密钥

计算过程：

1. 计算轮数：⌈384/256⌉=2轮
2. 第一轮：
   • 输入 = Z || 0x00000001
   • SM3(输入) → Ha_1（256位）
3. 第二轮：
   • 输入 = Z || 0x00000002
   • SM3(输入) → Ha_2（256位）
4. 输出：
   • K = Ha_1 || Ha_2 的前384位

通过这种设计，SM2 KDF能够安全地从较短的共享密钥派生出任意长度的会话密钥，满足各种加密应用的需求。