| 要点 | 同一主密钥派生多用途密钥必须使用不同 info/label |
|---|---|
| 常见错误 | 不同用途派生出相同密钥材料，一处泄露全线失守 |
| 相关规范 | HKDF（RFC 5869）、SP 800-108 基于 KDF 的派生 |
HKDF 派生示例（OpenSSL 3.x）
HKDF 派生示例（OpenSSL 3.x）
openssl kdf -keylen 32 -kdfopt digest:SHA256 \
-kdfopt hexkey:00112233445566778899aabbccddeeff \
-kdfopt info:enc-v1 HKDF应用层的凭据派生（Token 签名密钥、Cookie 加密密钥）同样适用域分离原则。